Таргетированная вредоносная рассылка для сбора информации

BOOX

Стаж на ФС с 2012 года
Команда форума
Служба безопасности
Private Club
Регистрация
23/1/18
Сообщения
29.285
Репутация
11.800
Реакции
61.991
RUB
50
Злоумышленники охотятся за конфиденциальной информацией компаний, рассылая вредоносные файлы с расширением scr.

В прошедшее воскресенье эксперты выявили новую волну таргетированных атак. Злоумышленники начали отправлять вредоносный файл, имитирующий документ с названием «Применение перспективного многофункционального эшелонированного воздушного комплекса на базе БПЛА».

Судя по количеству жертв, мы имеем дело с таргетированной атакой с целью сбора конфиденциальной информации.

Таргетированная вредоносная рассылка для сбора информации

Что за зловред находится во вложении

В действительности файл «Применение перспективного многофункционального эшелонированного воздушного комплекса на базе БПЛА» имеет расширение .scr и является инсталлятором. Для отвлечения внимания пользователя он извлекает из себя и открывает документ PDF на тему БПЛА.

Параллельно с этим он в скрытом режиме скачивает несколько архивов с дополнительной вредоносной нагрузкой и консольную утилиту для работы с архивами формата RAR. Консольная утилита используется для распаковки скачанных архивов, а также для сбора интересующих злоумышленников файлов.

За чем охотятся злоумышленники

Злоумышленники собирают в архивы офисные документы с расширениями *.doc и *.docx с дисков C:\, D:\ и E:\; кроме того, их интересует все содержимое папки «Telegram Desktop\tdata», в которой хранятся данные десктопной версии мессенджера Telegram. Сформированные архивы с информацией впоследствии отправляются на почту злоумышленнику с помощью еще одной консольной утилиты, извлеченной из скачанного архива.

Помимо этого, атакующие пользуются утилитой восстановления паролей Web Browser Pass View для похищения учетных данных, сохраненных в браузерах, а также тайно от владельца устанавливают в систему легитимную программу для мониторинга активности пользователя.

Она способна перехватывать и записывать нажатие клавиш, мониторить активность в сети Интернет, делать скриншоты, а главное, составлять из перехваченных данных отчеты и отправлять их на электронную почту.

Подобные атаки в прошлом

Атаку на компании, проводимую по подобной схеме, нельзя назвать принципиально новой. Подобные вредоносные рассылки, в которых используется тот же набор инструментов, встречаются как минимум с 2019 года. По большому счету различия состоят в теме документа-приманки и, соответственно, названии вредоносного инсталлятора.

До конца 2023 года название вредоносного scr-файла чаще всего включало фразу «1C.Предприятие Платежная накладная», а в 2024 году вложения рассылались с разнообразными именами, например «Проект ТТТ 26.2024-2.scr», «пневмокатапульта с самолетом.step.scr», «аналитическая справка.pdf.scr».

В ходе текущей атаки вредоносные архивы скачиваются с ресурса accouts-verification[.]ru. В июльской волне рассылок для загрузки архивов использовался сайт detectis[.]ru. И в том и в другом случае собранные данные отправляются на сервер hostingforme[.]nl.

Как защититься от подобной атаки

Для того, чтобы защитить компанию от вредоносных рассылок, нужно в первую очередь периодически повышать осведомленность сотрудников о современных киберугрозах и уловках киберпреступников.

Кроме того, все рабочие устройства должны быть снабжены надежными защитными решениями, проверяющими запускаемые файлы и блокирующими вредоносный код. Решения Kaspersky детектируют вредоносную нагрузку этой атаки с вердиктом Trojan.Win32.Dedok.art, а также детектируют и блокируют атаку по поведению с вердиктом Trojan.Win32.Generic.



 
  • Теги
    вредоносная рассылка вредоносные файлы зловред
  • Сверху Снизу