Positive Technologies выявила вредоносные рассылки против более 1200 российских организаций и предпринимателей
Изображение: OpenAI
Эксперты направления киберразведки экспертного центра безопасности PT (PT ESC TI) зафиксировали кампанию по распространению программы для кражи данных BoryptGrab. Атакующий направил вредоносные письма как минимум 1256 российским организациям и индивидуальным предпринимателям. Он использовал взломанные почтовые ящики, а затем продолжал рассылки уже с адресов новых жертв. Среди целей — финансовые и энергетические компании, а также органы власти.
В ходе расследования эксперты проанализировали вредоносные файлы, почтовые адреса и инфраструктуру злоумышленника, которого назвали VecnaHopper. С помощью PT Fusion исследовали связи между образцами BoryptGrab, доменами и IP-адресами. Это позволило объединить отдельные рассылки в одну кампанию и восстановить не менее пяти массовых волн атак. В одном из случаев специалисты проследили, как злоумышленник сначала отправил вредоносное письмо на корпоративный адрес, а спустя восемь дней использовал уже этот ящик для новой рассылки.
Индивидуальные предприниматели составили 44% выявленных целей, банки и финансовые организации — 14%, компании топливно-энергетической сферы и органы власти — по 11%. Выраженной отраслевой специализации у кампании не обнаружено: выбор получателей, вероятно, зависел от доступных злоумышленнику контактов. К письмам прикладывались защищенные паролем архивы. Внутри находились легитимный отладчик Visual Studio и вредоносная библиотека: при запуске программы она загружалась и обеспечивала дальнейшее заражение устройства.
Письма маскировались под привычную деловую переписку: заказы поставщикам, запросы, уведомления и приказы. Атакующий отправлял их со взломанных почтовых ящиков российских пользователей, связанных с индивидуальной предпринимательской деятельностью. В отдельных случаях в копии одного письма находилось более ста получателей. По оценке экспертов, атакующий мог брать контакты из переписки жертв и использовать их для дальнейших атак. Письмо от реального контрагента при этом могло вызывать у получателей меньше подозрений.
BoryptGrab похищает логины, пароли и данные сеансов из браузеров, информацию из Telegram, Discord, Steam и криптовалютных кошельков. Программа также собирает файлы с рабочего стола и из папки «Документы», делает скриншоты и отправляет полученные сведения злоумышленнику. Всего эксперты выявили более 700 образцов, связанных с инфраструктурой VecnaHopper.
«Даже знакомый адрес отправителя не гарантирует, что письмо безопасно: злоумышленник может использовать взломанную почту контрагента. Если вы не ожидали получить вложение, перед открытием свяжитесь с отправителем другим способом. При заражении необходимо удалить вредоносную программу, сменить скомпрометированные пароли с доверенного устройства и завершить сеансы в почте, мессенджерах и других сервисах, к которым мог получить доступ атакующий. Стилер похищает не только пароли, но и данные сеансов, поэтому одной смены пароля может быть недостаточно. Также важно проверить, не отправлялись ли с пострадавшего ящика вредоносные письма, и предупредить их получателей», — отметил Денис Кувшинов, руководитель направления Threat Intelligence и сервиса PT Fusion в Positive Technologies.
