Фишинговая кампания: хакеры используют доверие бренда AWS
В результате недавнего расследования, проведенного компанией CyberArmor, была обнаружена сложная фишинговая схема, целью которой выступали пользователи, которым были представлены поддельные сообщения от Управления социального обеспечения (SSA). Этот случай подчеркивает важность кибербезопасности и грамотного реагирования на социальную инженерию.
Суть фишинговой атаки
Хакеры использовали методологию, основанную на доверии к известным брендам. В частности, им были созданы электронные письма с URL-адресами, перенаправляющими пользователей на фишинговый сайт, размещенный на Amazon Web Services (AWS). Это решение было выбрано с целью повышения вероятности привлечения пользователей благодаря репутации Amazon.
Загружаемое вредоносное ПО
Фишинговая страница побуждала пользователей загрузить файл, маскирующийся под заявление о социальном страховании. После взаимодействия с сайтом пользователям предлагалось скачать загрузчик приложений .NET, который выполнял функции:
- Загрузчика дополнительных компонентов для вредоносной деятельности.
- Запуска программы распознавания .NET для извлечения и старта файлов из папки «FILES».
- Обеспечения работы инструмента удаленного доступа ScreenConnect.
Киберпреступная инфраструктура
Данный инструмент обеспечивал хакерам бэкдор-соединение, открывающее скрытый доступ к инфицированным системам. Файл ENTRYPOINT загрузчика инициировал подключение к серверу управления (C2), к которому вредоносная программа была запрограммирована на подключение без ведома пользователя.
Итоги и выводы
Телеметрия CyberArmor выявила следующее:
- Более 2000 пользователей взаимодействовали с фишинговой программой.
- Значительная часть из них приступила к установке вредоносного ПО.
Эти данные свидетельствуют об эффективности фишинг-стратегии и мощном сочетании социальной инженерии с техническим исполнением злоумышленников. К тому же использование надежных сервисов хостинга, таких как AWS, и предоставление подробных инструкций по скачиванию файла, способствовали успеху кампании.
Таким образом, данный инцидент подчеркивает уязвимость пользователей к искусственно созданным попыткам фишинга и необходимость повышения их осведомленности в области кибербезопасности.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
