Кампания фишинга: сбор учетных данных и вредоносных вложений

Новый сводный отчет раскрывает серию целевых кибератак, обнаруженных в 2025 году. Исследование охватывает несколько акторов и кампаний, которые применяют фишинг, методы социальной инженерии и вредоносные вложения для кражи учетных данных и компрометации сетей в разных регионах мира. Особое внимание уделено случаям с использованием заражённых документов и архивов, а также одному неопознанному актору, чьи методы остаются неустановленными.

Ключевые наблюдения по актам и кампаниям

• ZeroFish — LINXA.zip (Йемен)

  Актор, обозначенный в отчёте как ZeroFish, использовал архив LINXA.zip, нацелившись на пользователей в Йемене с августа 2025 года. Кампания включает фишинговые рассылки, цель которых — сбор учетных данных путём обмана получателей с просьбой открыть вредоносные вложения.

• SweetSpecter — Mhm dudury.doc (страны СНГ)

  Группа SweetSpecter начала кампанию в августе 2025 года. В качестве приманки злоумышленники используют документ Mhm dudury.doc, скрывающий вредоносное ПО и распространяющийся через методы социальной инженерии. Целевые страны — государства на территории СНГ.

• MuddyWater — Middle East and Maritime Economy.doc (Оман)

  Известный своими операциями на Ближнем Востоке актор MuddyWater сфокусировал активность на Омане. Согласно отчёту, атаки с использованием документа Middle East and Maritime Economy.doc наблюдаются с октября 2025 года. Тактика включает целевой фишинг для проникновения в сети и извлечения конфиденциальных данных.

• Неидентифицированный актор — Riga2025.pptm (Босния и Герцеговина)

  С июня 2025 года исследователи зафиксировали презентацию Riga2025.pptm, используемую неизвестным актором и нацеленную на организации в Боснии и Герцеговине. Методы этого оператора остаются неустановленными, что подчеркивает риски от неопознанных угроз.

Типичные методологии атак

Общая картина демонстрирует повторяющийся набор приёмов:

• фишинговые рассылки с социально-инженерными приманками;
• вредоносные вложения в виде документов (.doc) и презентаций (.pptm);
• заражённые архивы (.zip) как носители полезной нагрузки;
• сбор учетных данных через поддельные формы и хищение сессий;
• таргетирование по географии и отраслевым интересам жертв.

«Методы, используемые этим актором, остаются неустановленными» — формулировка отчёта, подчёркивающая важность непрерывного мониторинга и готовности реагировать на неизвестные векторы угроз.

Последствия и рекомендации

Анализ указывает на повышенный риск компрометации данных у организаций в перечисленных регионах. Чтобы снизить вероятность успешной атаки, эксперты рекомендуют:

• усилить обучение сотрудников по распознаванию фишинга и социальной инженерии;
• внедрить многофакторную аутентификацию для критичных сервисов;
• ограничить использование макросов и блокировать выполнение неподписанных макросов в офисных документах;
• сканировать входящие вложения антивирусными и поведенческими средствами и разворачивать Sandboxing для неизвестных файлов;
• жёстко сегментировать сеть и ограничивать права доступа по принципу наименьших привилегий;
• поддерживать готовность инцидент-реагирования: регулярные бэкапы, планы восстановления и обмен индикаторами компрометации (IOCs).

Вывод

Отчёт фиксирует скоординированные попытки компрометации посредством привычных, но всё ещё эффективных приёмов — фишинга и вредоносных вложений. В отдельных случаях используются новые или нестандартные векторы, что требует усиленного мониторинга и оперативного обмена информацией между организациями и специалистами по кибербезопасности. Приоритезация превентивных мер и обучение персонала остаются ключевыми факторами снижения рисков.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.