Хакеры атаковали российские компании в Telegram при помощи аватарок

ИБ-эксперт Блезнеков: айтишникам шлют вирусы в Telegram в виде отпускных аватарок

В преддверии майских праздников работники российских фирм стали получать через Telegram сообщения с предложением скачать “набор аватарок для отпуска”, которые можно установить в мессенджерах на время отсутствия. К сообщению прикреплен RAR-архив, содержащий вредоносный скрипт, предназначенный для сбора данных с устройства и их отправки злоумышленникам. Об этом сообщает Александр Блезнеков, руководитель направления информационной безопасности “Телеком биржи”.

По словам Блезнекова, зафиксирована новая фишинговая рассылка, нацеленная на сотрудников организаций и имитирующая сообщения от HR-отделов. В этих сообщениях говорится, что к сезону отпусков дизайнеры компании подготовили специальный набор аватарок, которые можно использовать в мессенджерах, чтобы “уведомить коллег о временном отсутствии в рабочих чатах”.

Злоумышленники прилагают к сообщению RAR-архив, который при открытии запускает скрипт для поиска и кражи определенных файлов с компьютера жертвы, например, документов с конкретными словами в названиях, и отправляет их хакерам. Это массовая рассылка: сотрудники российских компаний, в основном из IT-сферы, получили более 300 подобных сообщений. Блезнеков отмечает, что большинство этих вирусов ориентированы на операционную систему Windows.

Блезнеков подчеркивает, что в идеале защита компании должна быть организована таким образом, чтобы любые действия сотрудников, включая работу с файлами, в корпоративной сети анализировались с помощью механизмов SOC (Security Operation Center). Центр мониторинга киберугроз отслеживает события безопасности, поступающие в систему из различных источников, и при обнаружении подозрительной активности принимает меры для предотвращения атаки.

Например, при запуске вредоносного скрипта учетная запись сотрудника немедленно блокируется, а его компьютер отключается от корпоративной сети и интернета, чтобы предотвратить передачу собранных макросом данных злоумышленникам. Также рекомендуется заблокировать запуск макросов в файлах, скачанных на рабочих станциях, по умолчанию.

Ранее, накануне майских праздников, хакерская группировка Hive0117 атаковала Россию с использованием вируса DarkWatchman.

Источник — https://www.gazeta.ru/