Эксперты «Лаборатории Касперского» зафиксировали новую волну рассылок фишинговых писем с вредоносными вложениями. С их помощью были атакованы по меньшей мере 400 промышленных компаний, преимущественно на территории России.
Исследователи пишут, что основная цель киберпреступников – кража денежных средств со счетов организаций. Эта серия атак началась в сентябре 2017 года и продолжается до сих пор, а первые подобные инциденты были зафиксированы еще в 2015 году. По данным «Лаборатории Касперского», на данный момент были атакованы около 800 компьютеров сотрудников промышленных компаний, относящихся к следующим индустриям: нефть и газ, металлургия, инжиниринг, энергетика, строительство, добыча полезных ископаемых, логистика.
Как правило, мошенники рассылают по электронной почте письма, имеющие вид рабочей переписки на тему оплаты услуг, проведения платежей, сверки документов и других финансовых вопросов. Вредоносные вложения либо упакованы в архивы, либо вообще отсутствуют (во втором случае пользователя вынуждают перейти по ссылке на сторонний сайт и скачать малварь оттуда). При этом киберпреступники обращаются к каждому сотруднику по фамилии, имени и отчеству, формируют индивидуальные письма и учитывают специфику атакуемых организаций.
Используемая мошенниками малварь устанавливает в системе модифицированное ПО для удаленного администрирования, а именно – TeamViewer или Remote Manipulator System (RMS). Таким образом злоумышленники получают контроль над системами, причем в ходе атак они прибегают к различным техникам, позволяющим скрыть заражение. Далее злоумышленники находят и изучают документы о проводимых закупках и ПО для осуществления бухгалтерских операций. Полученная информация помогает им в совершении финансовых операций. В частности, преступники подменяют реквизиты платежных поручений, по которым должна производится оплата выставленных счетов, и средства уходят сторонним получателям.
Если после заражения системы атакующим необходимы еще какие-либо данные или возможности, они загружают дополнительный набор вредоносов, созданный с учетом особенностей заражения каждой жертвы. Это могут быть спайварь, дополнительные утилиты удаленного администрирования, расширяющие контроль на зараженных системах, вредоносное ПО для эксплуатации уязвимостей в ОС и прикладном ПО, а также утилита Mimikatz, позволяющая получить данные аккаунтов учетных записей Windows.
«Киберпреступники продемонстрировали явный интерес к промышленным компаниям. Исходя из нашего опыта, можно предположить, что это связано с уровнем осведомленности персонала атакуемых организаций в вопросах кибербезопасности. К сожалению, он существенно ниже, чем в других сферах экономики – например, на рынке финансовых услуг», – рассказал Вячеслав Копейцев, антивирусный эксперт «Лаборатории Касперского».
