Новая кибергруппа атакует российскую промышленность через целевой фишинг

Новая кибергруппа атакует российскую промышленность через целевой фишинг

Новая кибергруппа атакует российскую промышленность через целевой фишинг

Эксперты RED Security SOC и CICADA8 выявили новую кибергруппировку, специализирующуюся на атаках на промышленные и машиностроительные компании. Основным инструментом злоумышленников стал целевой фишинг.

На ранних этапах подготовки атак они тщательно анализируют кадровые изменения в компаниях-жертвах: выясняют, кто покинул организацию, и получают контактные данные бывших коллег этих сотрудников.

От имени кадровых служб компаний, куда якобы устраивается уволившийся сотрудник, злоумышленники рассылают письма с просьбой дать характеристику бывшему коллеге. Для этого предлагается перейти по ссылке и авторизоваться на ресурсе, внешне напоминающем корпоративный.

Такие письма вызывают высокий уровень доверия, поскольку упоминаются реальные сотрудники, а сообщения направляются их непосредственным коллегам.

Получив доступ к корпоративным учетным записям, киберпреступники оперативно используют полученные данные — это позволяет обходить даже двухфакторную аутентификацию и значительно повышает эффективность атак. Благодаря быстрому реагированию они разворачивают атаку ещё до того, как службы ИБ успевают принять меры.

В 2024 году на промышленные компании пришлось более 40 тысяч инцидентов информационной безопасности — около трети от общего числа атак, зафиксированных RED Security SOC. Доля инцидентов высокой критичности в отрасли составила 18%. Почти половина всех атак (45%) произошла в нерабочее время — в выходные и праздничные дни.

«Целевой фишинг, ориентированный на конкретных адресатов, становится всё более распространённым, особенно в финансовом секторе. Однако в данном случае мы наблюдаем высокую проработку вредоносных ресурсов, что свидетельствует о высокой квалификации злоумышленников. Атаки фиксировались исключительно в промышленной сфере, что позволяет предположить наличие политической мотивации и стремление дестабилизировать конкретную отрасль», — отметил Алексей Кузнецов, генеральный директор CICADA8.

«Промышленность и машиностроение уже давно находятся в фокусе шпионажа и кражи данных со стороны прогосударственных APT-группировок. В последнее время участились атаки, направленные на нанесение прямого ущерба и нарушение работы компаний. В данном случае сложно точно определить конечные цели злоумышленников — атаки были выявлены на ранней стадии, а фишинговые домены, использованные против наших клиентов, своевременно разделегированы. Однако злоумышленники могут продолжить использовать аналогичные схемы, создавая клоны таких ресурсов. Мы настоятельно рекомендуем всем организациям отрасли усиливать меры защиты от фишинга и повышать уровень киберграмотности сотрудников», — подчеркнул Ильназ Гатауллин, технический руководитель центра мониторинга и реагирования на кибератаки RED Security SOC.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Российских военных атакует Android-шпион, встроенный в Alpine Quest

Обнаружен троянизированный вариант навигатора Alpine Quest, которым в числе прочих пользуются военнослужащие в зоне СВО. По данным «Доктор Веб», вредоносный репак раздается через Telegram и один из российских каталогов для Android.

Анализ показал, что набор функций Android.Spy.1292.origin (результат VirusTotal22/65 на 22 апреля) позволяет оператору отслеживать местоположение зараженных телефонов и загружать в них вспомогательные модули для кражи файлов по выбору.

Встроенный в копию легитимной программы троян раздается под видом бесплатной версии Alpine Quest Pro. Для его распространения создан телеграм-канал, в котором опубликована ссылка для скачивания из российского каталога приложений, а также выкладываются обновления.

 

При первом запуске Android.Spy.1292.origin запрашивает необходимые ему разрешения, в том числе на доступ к внешнему хранилищу. Получив их, троян собирает и отсылает на C2-сервер следующие сведения:

  • учетные данные жертвы, номер телефона;
  • список контактов;
  • текущая дата;
  • текущая геолокация;
  • пользовательские файлы;
  • версия приложения.

Часть информации дублируется в телеграм-бот злоумышленников, в том числе новые координаты жертвы. Все локации записываются в отдельный файл; когда вес превысит 100 Мбайт, он удаляется, и создается новый.

Из хранимых файлов операторов шпиона больше всего интересуют конфиденциальные документы, передаваемые через Telegram и WhatsApp, а также журнал locLog приложения Alpine Quest. Для их вывода зловреду отдается команда на загрузку дополнительных модулей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru