Открыл файл — потерял деньги: искусная атака на доверчивых налогоплательщиков

Мошенники в сети развернули масштабную фишинговую атаку, выбрав в качестве мишени налогоплательщиков. Киберпреступники распространяют опасные LNK-файлы, искусно замаскированные под налоговую документацию. Михаил Спицын, эксперт по кибербезопасности из лаборатории стратегического развития «Газинформсервис», предупреждает, что открытие такого файла приводит к заражению системы и установке Stealerium – вредоносной программы, предназначенной для кражи конфиденциальных данных.

По словам эксперта, запуск вредоносного вложения активирует сложную цепочку заражения. С использованием обфусцированных команд PowerShell, зашифрованных в Base64, происходит загрузка дополнительных компонентов с управляющих серверов злоумышленников. Далее загружаются RAR-архивы, содержащие финальный исполняемый файл – упакованное ПО PyInstaller. При запуске оно расшифровывается и активирует Stealerium. Основная цель атаки – распространение Stealerium, похищающего персональные данные, пароли, информацию из браузеров, криптокошельков, мессенджеров и даже настройки Wi-Fi. Для сокрытия следов и обеспечения постоянного присутствия в системе жертвы злоумышленники используют PowerShell-скрипты, командные серверы и шифрование AES-256.

«Если в вашей организации не настроена блокировка вложений с расширением .lnk на почтовых шлюзах с помощью антифишинговых модулей, рекомендую незамедлительно устранить этот недостаток. Для предотвращения атак, использующих методы социальной инженерии, необходимо регулярно обучать сотрудников и пользователей распознаванию фишинговых писем, особенно в периоды проведения массовых государственных кампаний. Специалисты центров мониторинга проводят мероприятия по оперативному информированию. GSOC, помимо этого, предлагает услуги мониторинга корпоративной сети с применением современных решений, основанных на поведенческом анализе. В случае начала сложной атаки, такой как многоступенчатая загрузка вредоноса Stealerium, наши эксперты оперативно обнаруживают аномальное поведение и прерывают цепочку атаки», – подчеркивает Михаил Спицын.

Источник — https://securitymedia.org/