Фишеры атакуют российские компании размещённым на GitHub инфостилером

Фишеры атакуют российские компании размещённым на GitHub инфостилером

Фишеры атакуют российские компании размещённым на GitHub инфостилером

BI.ZONE раскрыла операцию киберпреступников, атакующих российские компании из различных отраслей. Задача злоумышленников — установить инфостилер Umbral в системы потенциальных жертв.

Umbral предназначен для сбора учётных данных пользователей на скомпрометированных устройствах. Интересно что исходные коды этого зловреда можно найти в открытом доступе на платформе GitHub.

Umbral подсовывается жертвам с помощью фишинговых атак с вложениями в виде ISO-файлов. Злоумышленники маскируют их под документы с названием «План Рейдеров». Если сотрудник запустит такой файл, на устройство почти гарантированно попадёт вредонос.

«Умбрал» обходит защитные системы и собирает аутентификационные данные из следующих приложений: Brave, Chrome, Chromium, Comodo, Edge, Epic Privacy, Iridium, Opera, Opera GX, Slimjet, UR Browser, Vivaldi, «Яндекс Браузер», Roblox, Minecraft и Discord.

Добытая информация выгружается через инфраструктуру мессенджера Discord. Получив первоначальный доступ к целевой сети, атакующие могут использовать корпоративную почту для фишинговых рассылок или извлечь из внутренних переписок конфиденциальные данные.

Для снижения риска подобных атак крайне важно обеспечить надёжную защиту электронной почты, поскольку фишеры используют именно этот канал для распространения инфостилеров вроде Umbral и других вредоносных программ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атаки через подрядчиков вошли в топ угроз для российских компаний

По данным центра мониторинга и реагирования на киберугрозы RED Security SOC, в 2024 году значительно выросло число атак на компании через их подрядчиков. Этот вектор впервые вошёл в список шести наиболее распространённых методов получения доступа к ИТ-инфраструктуре организаций.

В сравнении с 2023 годом количество подобных инцидентов увеличилось втрое, и аналитики ожидают дальнейшего роста в ближайшее время.

В прошлом году большинство успешных кибератак по-прежнему совершалось с использованием фишинга, перебора паролей (брутфорс) и эксплуатации известных уязвимостей в периметре.

Однако, наряду с этими традиционными техниками, киберпреступники стали всё чаще использовать доверительные отношения компаний с их подрядчиками (техника Trusted Relationship, T1199 по классификации MITRE ATT&CK).

Подобные атаки были направлены на подрядные организации, которые обычно имеют прямой доступ к инфраструктуре своих клиентов, но при этом обладают менее развитой системой информационной безопасности.

Как пояснили специалисты центра мониторинга RED Security SOC, злоумышленные действия через подрядчиков сложно идентифицировать, поскольку они маскируются под стандартную деятельность внешних подрядных организаций.

Наиболее эффективным методом выявления подобных атак является анализ аномалий поведения, когда отклонение от заранее заданных моделей работы внешних сотрудников служит сигналом для дополнительной проверки.

Чтобы снизить риски подобных инцидентов, специалисты советуют компаниям тщательно контролировать доступ подрядчиков, проводить регулярный аудит подключений и активно отслеживать любые изменения в стандартных профилях активности пользователей.

По прогнозам экспертов, к 2025 году каждое третье успешное вторжение в крупные российские компании будет происходить через компрометацию подрядчиков. Причём если ранее подобные атаки были направлены преимущественно на конкретные организации, то теперь взлом одной подрядной компании может стать отправной точкой для атак сразу на несколько её клиентов одновременно.

Дополнительно ситуацию усугубляет медленная реакция со стороны самих подрядных компаний, которые зачастую не могут оперативно обнаружить факт компрометации и своевременно уведомить об этом своих клиентов и регуляторов. В результате злоумышленники получают дополнительное время и возможность для глубокого проникновения в критически важные системы, что увеличивает потенциальный ущерб от таких инцидентов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru