BEC-атака на морскую инфраструктуру и критические уязвимости

Целевая BEC-кампания против морской инфраструктуры Южной Кореи: анализ угроз и сопутствующие уязвимости

Морская отрасль вновь оказалась под прицелом киберпреступников, объединивших социальную инженерию с многоступенчатым развертыванием вредоносного ПО. Эксперты зафиксировали целенаправленную атаку на южнокорейскую компанию Kangrim Heavy Industries, раскрывшую сложную инфраструктуру злоумышленников и изощрённые методы обмана.

Механика атаки: от targeted phishing до кражи данных

Инцидент представляет собой классическую схему Business Email Compromise (BEC), адаптированную под специфику морских перевозок. Злоумышленники инициировали волну targeted phishing писем, искусно замаскированных под деловую переписку от имени компаний из цепочки поставок. Основным инструментом доставки стало вредоносное ПО Formbook, нацеленное на кражу учётных данных и скрытый мониторинг системы. После успешного проникновения жертва перенаправлялась на C2-сервер, связанный с инфраструктурой RedLine Stealer — ещё одного инструмента для эксфильтрации конфиденциальной информации.

Первичной точкой входа в сеть злоумышленников был идентифицирован IP-адрес 194.156.79.122, принимавший соединения на порту 55615. Дальнейший анализ показал, что этот C2-сервер являлся частью более широкой сети из семи мошеннических доменов, демонстрировавших единые соглашения об именовании и идентичные TLS-сертификаты. Все семь доменов размещались на хостинг-провайдере TheHost LLC, что указывает на централизованное управление и расчёт на долгосрочное использование обманной инфраструктуры для поддержания доверия жертв.

Инструменты и отпечатки: как злоумышленники сохраняли незаметность

Для выявления связанных узлов C2 специалисты применили продвинутые техники fingerprinting, позволившие не только выделить характерные особенности серверов, но и подтвердить согласованность всей операции. Комбинация RedLine Stealer и Formbook в рамках одного сценария атаки говорит о чётком разделении ролей: первый нацелен на быструю эксфильтрацию паролей и данных, второй — на поддержание скрытого присутствия и сбор дополнительных учётных записей.

Особую тревогу вызывает способность атакующих безупречно имитировать легитимные деловые коммуникации, подстраиваясь под стандарты морского сектора. Каждое письмо выглядело как рутинная переписка с партнёром или поставщиком, что резко снижало порог подозрительности у получателей.

Параллельные риски: уязвимости в смежных системах

Помимо описанной BEC-кампании, в отчёте перечислены несколько критических уязвимостей, расширяющих ландшафт угроз для различных платформ. Эти бреши не использовались напрямую в атаке на Kangrim Heavy Industries, но подчёркивают общий рост уязвимости цифровой инфраструктуры:

• Плагин TinyPNG для WordPress (CVE-2026-7311): path traversal уязвимость, позволяющая аутентифицированному пользователю удалять произвольные файлы на сервере из-за недостаточной проверки путей к файлам.
• Прошивка CubeSpace CW0057 Reaction Wheel (CVE-2026-13743): ошибка в механизме проверки криптографической подписи (improper cryptographic signature verification) делает возможной загрузку вредоносной прошивки при физическом доступе к устройству.
• Eclipse Wakaama (CVE-2026-58465): неаутентифицированные запросы способны вызвать неограниченное выделение памяти (unrestricted memory allocation), что приводит к отказу в обслуживании (DoS) и потенциальной дестабилизации работы приложений.

Выводы: на передовой — критическая инфраструктура

Инцидент с Kangrim Heavy Industries и свежие сообщения об уязвимостях наглядно демонстрируют, насколько усложнились кибератаки против отраслей, где сбой может привести к масштабным экономическим и физическим последствиям. Комбинирование социальной инженерии с многоступенчатым развёртыванием вредоносного ПО стирает грань между целенаправленным шпионажем и финансово мотивированным мошенничеством.

Организациям, особенно в критических секторах, таких как морская инфраструктура, настоятельно рекомендуется пересмотреть протоколы проверки входящих писем, усилить мониторинг сетевых аномалий на предмет нестандартных портов (подобных 55615) и регулярно проводить тренинги для сотрудников по распознаванию targeted phishing атак.

Отчёт завершается однозначным резюме: риски, создаваемые таким симбиозом техник и инструментов, требуют постоянной бдительности и адаптации защитных мер к эволюционирующим тактикам злоумышленников.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.