Андрей Жаркевич
редактор


Артемий Богданов
технический директор


Сергей Волдохин
выпускающий редактор

Киберкампании

Новая фишинговая кампания использует уязвимость нулевого дня (0-day) в Windows для обхода защитной функции Mark of the Web и устанавливает на устройства пользователей вредонос Qbot.

Схема кампании:

1. Жертва получает вредоносное письмо, в котором есть ссылка на некий документ и пароль от архива.

2. После перехода по ссылке на компьютер пользователя загружается ISO-образ, содержащий файлы WW.js, data.txt и переименованную DLL — resemblance.tmp.

3. JS-файл содержит скрипт в формате VB, задача которого — читать текстовый файл data.txt. В data.txt есть строка vR32, содержащая параметры команды shellexecute.

4. Загруженные файлы JavaScript обходят маркировку Mark of the Web, что позволяет вызвать минимум подозрений у получателя фишингового письма.

5. После запуска скрипт устанавливает на компьютер исполняемые файлы вредоносного ПО Qbot.

ВТБ предупреждает о возврате мошеннических сценариев, в рамках которых злоумышленники просят клиентов подключить стороннюю банковскую карту к Pay-сервисам для бесконтактной оплаты на мобильном устройстве, чтобы затем вывести деньги на свои счета.

Схема действий мошенников:

1. Злоумышленники от имени финансовых организаций по телефону сообщают о необходимости перевести деньги на якобы безопасный счет для защиты средств клиента.
2. Для этого пользователя просят скачать один из существующих Pay-сервисов и добавить в него данные сторонней банковской карты или счета на мобильном устройстве, якобы «безопасного», а затем — перевести деньги на него.
3. Выполнить эту операцмию жертве предлагают через банкомат с NFC-модулем, который позволяет пополнить карту мошенников с устройства жертвы.

Обнаружена фишинговая кампания вьетнамской группировки Ducktail в WhatsApp и LinkedIn, цель которой — захват учетных записей Facebook Business.

Схема кампании

1. Операторы Ducktail скрывают инфостилер в архивных файлах вместе с изображениями, документами и видеофайлами.

2. Названия файлов связаны с популярными брендами и продуктами для управления проектов.
3. Ducktail скрывает вредоносное ПО, отображая поддельные документы и видеофайлы при запуске. Чтобы избежать обнаружения, группа постоянно изменяет формат файла, а также компилирует и подписывает сертификаты.
4. Оказавшись в системе жертвы, вредонос ищет cookie-файлы и токены Facebook в браузерах Google Chrome, Microsoft Edge, Brave Browser и Firefox.
5. Если cookie-файлы были обнаружены, инфостилер напрямую взаимодействует с различными конечными точками Facebook с компьютера жертвы, используя cookie-файл сеанса Facebook и учетные данные, полученные с помощью cookie, чтобы украсть информацию из аккаунта жертвы.
6. Если аккаунт жертвы был успешно взломан, вредонос похищает ее личные и платежные данные. Кроме того, Ducktail пытается добавить адрес электронной почты злоумышленника в списки электронных адресов организаций, в которых работает жертва.
7. В конце атаки все украденные данные отправляются хакерам через Telegram.
8. Получив нужную информацию, злоумышленники пытаются купить рекламу, размещенную другими компаниями.

В ходе очередной вымогательской кампании злоумышленники кибергруппы Luna Moth (Silent Ransom) используют адресные рассылки и вишинг.

Схема кампании

1. Атака начинается с рассылки сообщений, подстроенных под выбранную жертву. Эти сообщения не содержат вредоносных вложений или ссылок. Приманкой обычно служит инвойс или платная подписка, якобы оформленная на имя получателя.

2. К фальшивке прикреплен безобидный PDF-документ, в котором указан номер телефона для связи на случай возникновения вопросов — например, для отмены подписки, по которой скоро начнут снимать деньги с карты.

3. Если жертва позвонит по указанному номеру телефона, её начнут убеждать установить на компьютер ПО для удаленного управления. Например, собеседник в ходе разговора может выслать приглашение присоединиться к сеансу удаленной поддержки через Zoho Assist — якобы для большего удобства.

4. Если жертва согласится, мошенник перехватит управление ее клавиатурой и мышью, включит доступ к буферу обмена и размоет экран, чтобы скрыть дальнейшие действия от пользователя.

5. После этого в систему устанавливается инструмент удаленного управления Syncro, чтобы обеспечить стороннее присутствие, а также менеджер файлов Rclone или клиент WinSCP — для выкачивания ценных данных с компьютера и подключенных сетевых ресурсов. Процесс в этом случае может занять от нескольких часов до пары недель.

6. Если у жертвы нет прав администратора, автор атаки не пытается закрепиться в системе, а сразу переходит к краже данных с помощью WinSCP Portable — прямо во время телефонной беседы.

7. После кражи информации пострадавшему высылается письмо с требованием выкупа, размер которого составляет от 2 до 78 биткоинов в зависимости от платежеспособности атакованной организации.

8. Каждой жертве назначается свой криптокошелек, причем за проведение платежа в заданные сроки предоставляется скидка в 25%.

9. Неплательщикам могут угрожать потерей репутации — вымогатели обещают рассказать о случившемся крупным клиентам жертвы, называя их имена.

Новая схема обмана телефонных мошенников: они притворяются сотрудниками правоохранительных органов, которые расследуют дело о массовой утечке персональных данных из банков, которое ведется по поручению Центрального банка.

Схема обмана:

1. Мошенник звонит человеку и сообщает, что среди скомпрометированных данных могут быть и его сведения. Он предлагает свериться с базой утечек, чтобы привлечь собеседника в качестве потерпевшего.

2. Далее злоумышленник спрашивает у человека, в каком банке он обслуживается, просит данные карты, в том числе трехзначный код на её оборотной стороне.

3. Чтобы убедить потенциальную жертву в правдоподобности истории, мошенник может направить ему в мессенджер или на электронную почту фото поддельного документа о проведении оперативно-розыскных мероприятий.

Мобильная безопасность

В Google Play обнаружен новый набор вредоносных приложений, которые маскируются под файловые менеджеры, чтобы загрузить на устройство банковский троян Sharkbot.

Размещенные в магазине приложения не содержат вредоносной функциональности. А вот после установки на мобильном устройстве жертвы «файловый менеджер» подгружает «полезную нагрузку» из стороннего ресурса. Поскольку программы позиционируют себя как файловые менеджеры, пользователя вряд ли смутят запрашиваемые разрешения.

Цель операторов Sharkbot — контроль над аккаунтами жертвы в онлайн-банкинге. Для этого троян выводит фейковые формы для ввода учётных данных, которые отправляют логины и пароли злоумышленникам.

Атаки и уязвимости

В продуктах компании Omron обнаружены опасные уязвимости, затрагивающие контроллеры серий NJ и NX и программное обеспечение.

Перечень уязвимостей:

• Уязвимость высокого уровня опасности CVE-2022-33971 (CVSS: 8,3), которая может позволить злоумышленнику, получившему доступ к целевому программируемому логическому контроллеру (ПЛК) Omron, вызвать отказ в обслуживании (DoS) или запустить вредоносные программы;
• Критическая уязвимость жестко запрограммированных учетных данных CVE-2022-34151 (CVSS: 9,4) позволяет получить доступ к ПЛК Omron;
• Уязвимость высокого уровня опасности CVE-2022-33208 (CVSS: 8,1), которую можно использовать для получения конфиденциальной информации, а также для обхода аутентификации и получения доступа к контроллеру.

Инциденты

Из-за DDoS-атаки группировки KillNet сайт Европарламента не работал более четырех часов.

Кибератака произошла после того, как Европарламент проголосовал за то, чтобы объявить Россию «государством-спонсором терроризма». Резолюция носит рекомендательный характер, её поддержали 494 евродепутата, против выступили 58, 44 — воздержались.

Компания DraftKings, занимающаяся спортивными ставками, сообщила, что ее клиенты пострадали от атак типа credential stuffing.

Общий размер потерь пользователей оценивается в 300 000 долларов США. При этом в DraftKings подчеркивают, что ее собственные системы не были взломаны.

Все взломанные учетные записи объединяло одно: внесение первоначального депозита в размере 5 долларов США. Сразу после этого злоумышленники меняли пароль, подключали двухфакторную аутентификацию для другого телефонного номера и снимали как можно больше денег с привязанного в аккаунту банковского счета.

Представители компании предположили, что учетные данные этих клиентов были скомпрометированы на других сайтах, а затем использованы для доступа к их учетным записям DraftKings, где они использовали те же логины и  пароли.

Группировка XakNet сообщила в своем Telegram-канале о завершении операции по взлому украинского Министерства финансов.

Операция по взлому украинского финансового ведомства длилась на протяжении нескольких месяцев. Хакеры «шаг за шагом компрометировали инфраструктуру, изучали, как все устроено, попутно выкачивая документы».

Представители XakNet сообщили, что им удалось получить доступ к почте сотрудников ведомства и изъять более миллиона файлов с электронными документами. Собранные данные планируется передать СМИ по запросу для организации расследований, а впоследствии открыть для всех желающих.

Как сообщает Telegram-канал «Утечки информации», группировка XakNet уже начала выкладывать в открытый доступ учетные записи из локального домена «Министерства Финансов Украины»(mof.gov.ua). В опубликованной базе находится 960 строк, содержащих информацию об именах пользователя в домене mof.local, хешированные (NTLM), а также «расшифрованные» пароли.

Лоукостер AirAsia стал жертвой группировки вымогателей Daixin Team.

Представитель группировки заявил, что им удалось получить личные данные 5 миллионов пассажиров и всех сотрудников авиакомпании. В качестве доказательства злоумышленники предоставили изданию DataBreaches и жертве два CSV-файла c информацией о пассажирах и сотрудниках.

Пока неизвестно, сколько хакеры потребовали за ключ для дешифрования данных, удаление всего украденного и информирование AirAsia о найденных и использованных уязвимостях.

Представитель Daixin Team подчеркнул, что при блокировке файлов хакеры старались не зацепить те, что связаны с летным оборудованием.

Примечательно, что группировка остановила атаку, разозлившись на бардак в сети и отсутствие каких-либо стандартов. Хакеры передали привет сисадминам AirAsia и сравнили сеть компании с разваливающимся сараем, построенным у старого здания.