Российская APT: фишинговая кампания против руководства Приднестровья

5 декабря российский threat actor из числа сложных целенаправленных угроз (APT) провёл фишинговую кампанию, адресованную руководству Приднестровья. Злоумышленники рассылали электронные письма, поддельно выдававшиеся за официальные сообщения от Приднестровской Молдавской Республики, с целью похищения учетных данных получателей.

Что произошло

В фишинговых письмах злоумышленники просили адресатов раскрыть логины и пароли или переходили по ссылкам на мошеннические веб‑формы. Такие сообщения маскируются под законные источники и направлены на то, чтобы обманом заставить пользователей передать конфиденциальную информацию. Полученные учетные данные могут использоваться для дальнейшей компрометации систем и эскалации доступа в целевых организациях.

Тактика атакующих

• Социальная инженерия и подделка отправителя — письма имитировали официальные домены и оформление;
• Credential harvesting — основная цель атак заключалась в захвате учетных данных;
• Вредоносные вложения и ссылки — сообщения часто содержат вложения или ссылочные перенаправления на фишинговые страницы;
• Использование текущей геополитической напряжённости для повышения эффективности атак.

Региональный контекст и масштабы угрозы

Инцидент укладывается в более широкую тенденцию активности российских APT‑групп в соседних регионах — в частности, в Прибалтике и на Балканах. Фишинг остаётся одной из наиболее распространённых и эффективных тактик таких акторов, поскольку он эксплуатирует человеческий фактор и слабые места в системах почтовой защиты.

«Фишинг остаётся распространённой тактикой среди этих акторов, использующих вводящие в заблуждение электронные письма, которые часто содержат вредоносные вложения или ссылки».

Последствия и риски

Если злоумышленникам удалось получить учетные данные руководителей, последствия могут включать:

• несанкционированный доступ к внутренним системам и почте;
• кражу конфиденциальной информации и документов;
• использование скомпрометированных аккаунтов для распространения дальнейших атак;
• подрыв доверия к государственным институтам и дестабилизацию операций.

Рекомендации по защите

• внедрить многофакторную аутентификацию (MFA) для всех критичных учётных записей;
• усилить фильтрацию электронной почты и антивирусную проверку вложений;
• регулярно проводить обучение персонала по теме фишинга и социальной инженерии;
• настроить мониторинг аномальной активности и оперативный инцидент‑респонс;
• проверять подлинность доменов отправителей и использовать DMARC/DKIM/SPF.

Этот инцидент ещё раз подчёркивает необходимость повышенной бдительности и системного подхода к кибербезопасности в государственных и административных структурах, особенно в регионах с повышенной геополитической напряжённостью.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.