Кампания AnyDesk TAG обманывает клиентов банков по телефону
Кампания AnyDesk TAG нацелена на клиентов банков и действует как минимум с марта 2026 года. Злоумышленники используют телефонные звонки и клоны банковских страниц поддержки, чтобы придать общению с людьми, выдающими себя за сотрудников банков или подразделений по борьбе с мошенничеством, видимость легитимности. К октябрю 2026 года исследователи выявили не менее 383 связанных доменов. Среди целевых брендов были Allica Bank, Revolut, Barclays, Lloyds, Wise, Santander, NatWest Bankline и HSBC, а также другие банки Великобритании, Австралии и других стран.
Поддельная поддержка и инструменты удалённого доступа
Клоны страниц поддержки и служб помощи банков содержали поддельные этапы проверки, идентификаторы дел, формы для сообщения о мошенничестве и инструменты поддержки. Кампания затрагивала как частных лиц, так и предприятия. В одном из каналов жертвам предлагали установить легитимный клиент AnyDesk с инфраструктуры AnyDesk и предоставить оператору удалённый доступ. Сам AnyDesk был подлинным программным обеспечением, но его использовали в контексте социальной инженерии.
Другой канал доставки содержал файл verify_call.exe, который выдавал себя за «ShieldWall Defender» от «SilverPeak Software». Анализ показал, что в файл входили установщик ScreenConnect и код повышения привилегий. Перед установкой ScreenConnect программа пыталась отключить или ослабить средства защиты Microsoft Defender и SmartScreen.
В ещё одном канале жертвам предлагали архив FraudReport.zip. В нём находились легитимный исполняемый файл Microsoft Defender и вредоносный файл mpclient.dll. Подмена DLL позволяла загрузить библиотеку, контролируемую злоумышленником, с помощью доверенного программного обеспечения с цифровой подписью Microsoft. Архив также содержал закодированную копию пакета ScreenConnect в формате MSI и подлинный информационный листок Action Fraud, использованный как приманка.
Инфраструктура и подписи файлов
Две цепочки доставки, связанные с файлами verify_call.exe и FraudReport.zip, устанавливали ScreenConnect с настройкой доступа без присутствия пользователя. Это обеспечивало постоянный удалённый доступ после завершения телефонного звонка. В ходе кампании также использовались подлинный AnyDesk, Microsoft Defender, программное обеспечение с подписью Proton AG и легитимные документы.
Два вредоносных файла содержали действительные подписи EV Authenticode, указывавшие на компанию Botania Games в Японии. Имеющиеся доказательства не позволяют установить, была ли компания вовлечена в эту деятельность, скомпрометирована или стала объектом имперсонации.
В ходе кампании постоянно менялись DNS, хостинг, домены, полезные нагрузки и способы доставки. Публично задокументированная активность 2024 года также включала клоны банковских страниц и AnyDesk, однако технические доказательства не устанавливают прямую связь этих наблюдений с AnyDesk TAG.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
