Squid Werewolf использует HR-маскировку для кибершпионажа

Squid Werewolf использует HR-маскировку для кибершпионажа

Squid Werewolf использует HR-маскировку для кибершпионажа

Кибершпионские группировки, как правило, атакуют исследовательские и государственные организации, рассылая фишинговые письма от имени регуляторов или госструктур. Однако участники Squid Werewolf выбрали нестандартный подход: они притворились HR-менеджерами крупной промышленной компании.

Squid Werewolf — шпионская группировка, атакующая организации в Южной Корее, Японии, Вьетнаме, России, США, Индии, ОАЭ и других странах.

В конце 2024 года злоумышленники попытались проникнуть в одну из российских компаний. Предположив, что сотрудник может обладать ценной информацией, они отправили ему письмо с предложением рассмотреть вакансию в реальной промышленной организации.

Олег Скулкин, руководитель направления Threat Intelligence компании BI.ZONE, отметил:

«Злоумышленники тщательно подготовили атаку и заранее собрали всю необходимую информацию о потенциальной жертве, чтобы повысить доверие к письму. В его вложении находился ZIP-архив с файлом-ярлыком “Предложение о работе.pdf.lnk”, который маскировался под документ с вакансией».

Для усложнения выявления угрозы преступники применили техники маскировки вредоносного кода. Запуск LNK-файла приводил к загрузке зловреда, а обфускация кода затрудняла его обнаружение.

Как отмечает Олег Скулкин, использование архивов с исполняемыми файлами и ярлыками связано с ограничениями, введёнными Microsoft. С 2022 года Windows по умолчанию блокирует макросы в документах, скачанных из интернета, поэтому злоумышленники всё чаще отказываются от традиционных методов и переключаются на менее защищённые форматы.

По данным аналитиков, в 2024 году 57% целевых атак на российские компании начинались именно с рассылки фишинговых писем.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Ростелеком выпускает из-под крыла одну из дочек — похоже, ГК Солар

Вчера вечером, 27 октября, на сайте Интерфакс-ЦРКИ появилось сообщение о грядущем заседании совета директоров «Ростелекома». В повестку дня включен вопрос о «прекращении участия» ПАО в неназванной компании.

Наблюдательный совет должен также зафиксировать согласие на совершение сделки, связанной с отчуждением активов юрлица XXX. Как выяснил «Ъ», под этим условным обозначением может скрываться ГК «Солар».

Доля участия «Ростелекома» в уставном капитале этой дочки (2,9 млн руб.) — 100%. Неделю назад АО «Солар Секьюрити» подало в ФНС РФ заявление о внесении изменений в соответствующую запись в ЕГРЮЛ; назначенный срок исполнения — 28 октября.

Не исключено, что отказ телеоператора от дальнейшего участия в ГК «Солар» связан с подготовкой ее выхода на IPO.

О планах «Ростелекома» вывести дочерние компании на фондовый рынок при благоприятных условиях стало известно два года назад. Имена при этом не раскрывались, и СМИ все время гадали, кто станет первым — «Солар» или «РТК-ЦОД».

Сам «Ростелеком» торгуется на Мосбирже под RTKM и RTKMP.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru