Мошенники используют сохраненные голосовые в мессенджерах

Мошенники используют сохраненные голосовые в мессенджерах

ВТБ предупреждает о новой уловке мошенников, атакующих пользователей в мессенджерах. Злоумышленники взламывают аккаунт и копируют аудиосообщения жертвы, а затем с их помощью пытаются выманить деньги у ее знакомых.

Чтобы определить подходящую кандидатуру для развода, взломщики изучают переписку жертвы с родными, друзьями и коллегами. Выбрав тему (день рождения общего знакомого, планы на выходные и т. п.), они имитируют продолжение диалога.

Для пущей убедительности обманщики подкрепляют текстовые сообщения голосовыми, из найденных в профиле жертвы. Завоевав доверие, они озвучивают просьбу о финансовой помощи — например, одолжить на пару дней денег для оплаты услуг ЖКХ, с указанием номера карты для перевода.

«Старые схемы всегда обрастают новыми подробностями и хитростями, — комментирует Никита Чугунов, старший вице-президент ВТБ, руководитель департамента цифрового бизнеса. — Будьте бдительны и не поддавайтесь на уговоры, проверяйте информацию через дополнительные каналы связи. Для защиты мы рекомендуем удалять голосовые сообщения из чатов после прослушивания или поставить опцию их автоудаления».

Традиционное телефонное мошенничество, видимо, теряет свою эффективность в России благодаря информированности населения и мерам, принимаемым игроками рынка. В прошлом году ВТБ зафиксировал сокращение количества таких инцидентов на 16% (до 6,5 млн).

Аферисты стали переносить свои схемы в мессенджеры, и защитные сервисы определения номеров пришлось распространять и на эти каналы. Чтобы оградить пользователей от атак с использованием архивных голосовых сообщений (в том числе как основы для ИИ-генераторации аудио), операторы мессенджеров начали внедрять технологии одноразового просмотра и самоудаления таких файлов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Werewolves атакуют российские сети через уязвимость, закрытую 6 лет назад

Кибергруппа Werewolves, вооруженная модом шифровальщика LockBit, не желает уходить из России. С конца апреля наблюдается новый всплеск вредоносных рассылок на адреса промпредприятий, телеком-провайдеров, ИТ-вендоров, финансистов, страховщиков.

Для проведения новой серии атак злоумышленники создали поддельный сайт Курганского завода спецтехники (среди клиентов — МВД и МЧС). Содержимое скопировано целиком, но фейковый kzst45 размещен в другой TLD-зоне — RU, а не COM, как оригинал.

 

Вредоносные письма рассылаются с адреса a.s.rogov@kzst45[.]ru; на официальном сайте НПО «КЗСТ» уже опубликовано соответствующее предупреждение. В качестве приманки, как и в начале прошлого месяца, используется тема досудебных претензий.

Проведенный в F.A.C.C.T. анализ вложенного файла Рекламация.doc (результат VirusTotal — 30/66 по состоянию на 16 мая) показал, что он загружает RTF с эксплойтом к давней уязвимости CVE-2017-11882 в MS Office, которая до сих пор активно используется в атаках.

После отработки эксплойта на машину жертвы с другого сайта в зоне RU через редирект загружается файл HTA, выполняющий PowerShell-команду на распаковку и запуск стейджера Сobalt Strike. Тот, в свою очередь, загружает маячок Сobalt Strike с вшитым адресом C2-сервера (poopy[.]aarkhipov[.]ru).

Этот инструмент был неоднократно замечен в атаках Werewolves: он облегчает вымогателям проникновение в корпоративные сети. Цель нападений «оборотней» осталась прежней — внедрение вариации LockBit 3.0 (Black), созданной с помощью слитого Сеть билдера.

В качестве выкупа за ключ расшифровки файлов Werewolves обычно требуют от $130 тыс. до $1 миллиона. Отказникам угрожают публикацией факта взлома, то есть потерей репутации и клиентуры.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru