Фишинг под видом ФСБ и сервисов вакансий: атакованы HR и госорганизации

Фишинг под видом ФСБ и сервисов вакансий: атакованы HR и госорганизации

Фишинг под видом ФСБ и сервисов вакансий: атакованы HR и госорганизации

В марте 2025 года эксперты зафиксировали фишинговую кампанию, в которой злоумышленники рассылали письма от имени популярного российского сервиса по поиску работы. Письма выглядели как официальные уведомления и пугали блокировкой аккаунта.

Как объяснили специалисты Positive Technologies, особенно тревожно, что такие письма могли быть направлены в HR-отделы компаний.

В сообщениях содержались две ссылки: одна вела на настоящий сайт, где якобы нужно было сменить пароль — это создавало эффект доверия. Другая — на фейковую страницу, через которую злоумышленники могли похитить логины, пароли и другую чувствительную информацию. Такие данные могли использоваться для последующих атак, например, от имени HR-службы.

Кроме этого, наблюдались и другие случаи фишинга — уже с имитацией официальных писем от имени ФСБ. В них были «приказы о проверке», якобы направленные в организации. Сами письма не содержали вредоносных вложений, что позволяло им обходить антивирусы.

Однако они были написаны с ошибками: упоминались несуществующие законы, вымышленные должности и поддельные подписи. Судя по всему, цель таких писем — втянуть получателя в переписку и выведать персональные данные сотрудников.

Ещё один инцидент произошёл в конце февраля. Тогда с использованием тематики ФСБ распространялся файл, который запускал на компьютере жертвы удалённое администрирование через UltraVNC.

Такой доступ мог позволить атакующим перехватывать информацию и развивать атаку дальше. За этой операцией, предположительно, стоит шпионская группа PseudoGamaredon, которая нередко маскирует свои действия под официальные запросы от госорганов.

Отдельно специалисты предупреждают: даже сотрудники служб информационной безопасности могут случайно навредить, если, например, отправляют письма с конфиденциальной информацией (включая пароли и ссылки на внутренние ресурсы) в публичные песочницы. Если такая информация попадёт к злоумышленникам, это может привести к серьёзной утечке данных и компрометации всей системы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

macOS-юзеров через ClickFix атакует Odyssey Stealer — переодетый Poseidon

Эксперты CYFIRMA обнаружили множество сайтов, использующих тактику Clickfix для раздачи вредоносных AppleScript. Как оказалось, целевой троян Odyssey — это обновленный, сменивший имя инфостилер Poseidon.

Вредоносные фейки используют тайпсквоттинг и имитируют легитимные финансовые сервисы, магазин приложений Apple для macOS и сайты новостей на рынке криптовалют.

При заходе на такую площадку пользователю отображается фейковый тест CAPTCHA в стиле Cloudflare с предложением скопировать и вставить в Терминал закодированную по Base64 команду.

В результате атаки ClickFix на машину жертвы с внешнего сервера загружается AppleScript для кражи данных. Обфускация не применяется, и это сильно облегчает анализ.

При заходе на поддельный сайт с Windows-устройства инструкции по копипасту соответствующим образом изменяются — визитера просят запустить Powershell, однако на момент анализа кнопка «»Скопировать» не работала.

 

Вредоносный скрипт создает на macOS-компьютере папку временных файлов для хранения краденого. Туда копируются конфигурационные данные из менеджеров паролей, сохраненные в Chrome, Firefox и Safari учетки; приватные ключи, сид-фразы для криптокошельков, токены аутентификации из 100+ расширений браузеров; файлы из папок «Рабочий стол» и «Документы», а также пароли, полученные с помощью фейковых системных подсказок.

Украденные данные впоследствии выводятся на серверы авторов атаки в виде ZIP-файла. По состоянию на 30 июня стилера Odyssey детектируют 22 из 62 антивирусов коллекции VirusTotal.

Анализ показал, что новобранец является результатом развития и ребрендинга Poseidon Stealer, а также форком AMOS Stealer. Его центры управления по большей части размещены в России. Жертвы — в основном жители США и ЕС; страны СНГ, по всей видимости, являются табу.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru