Злоумышленники охотятся за конфиденциальной информацией компаний, рассылая вредоносные файлы с расширением scr.
В прошедшее воскресенье эксперты выявили новую волну таргетированных атак. Злоумышленники начали отправлять вредоносный файл, имитирующий документ с названием «Применение перспективного многофункционального эшелонированного воздушного комплекса на базе БПЛА».
Судя по количеству жертв, мы имеем дело с таргетированной атакой с целью сбора конфиденциальной информации.
Параллельно с этим он в скрытом режиме скачивает несколько архивов с дополнительной вредоносной нагрузкой и консольную утилиту для работы с архивами формата RAR. Консольная утилита используется для распаковки скачанных архивов, а также для сбора интересующих злоумышленников файлов.
Помимо этого, атакующие пользуются утилитой восстановления паролей Web Browser Pass View для похищения учетных данных, сохраненных в браузерах, а также тайно от владельца устанавливают в систему легитимную программу для мониторинга активности пользователя.
Она способна перехватывать и записывать нажатие клавиш, мониторить активность в сети Интернет, делать скриншоты, а главное, составлять из перехваченных данных отчеты и отправлять их на электронную почту.
До конца 2023 года название вредоносного scr-файла чаще всего включало фразу «1C.Предприятие Платежная накладная», а в 2024 году вложения рассылались с разнообразными именами, например «Проект ТТТ 26.2024-2.scr», «пневмокатапульта с самолетом.step.scr», «аналитическая справка.pdf.scr».
В ходе текущей атаки вредоносные архивы скачиваются с ресурса accouts-verification[.]ru. В июльской волне рассылок для загрузки архивов использовался сайт detectis[.]ru. И в том и в другом случае собранные данные отправляются на сервер hostingforme[.]nl.
Кроме того, все рабочие устройства должны быть снабжены надежными защитными решениями, проверяющими запускаемые файлы и блокирующими вредоносный код. Решения Kaspersky детектируют вредоносную нагрузку этой атаки с вердиктом Trojan.Win32.Dedok.art, а также детектируют и блокируют атаку по поведению с вердиктом Trojan.Win32.Generic.
В прошедшее воскресенье эксперты выявили новую волну таргетированных атак. Злоумышленники начали отправлять вредоносный файл, имитирующий документ с названием «Применение перспективного многофункционального эшелонированного воздушного комплекса на базе БПЛА».
Судя по количеству жертв, мы имеем дело с таргетированной атакой с целью сбора конфиденциальной информации.
Что за зловред находится во вложении
В действительности файл «Применение перспективного многофункционального эшелонированного воздушного комплекса на базе БПЛА» имеет расширение .scr и является инсталлятором. Для отвлечения внимания пользователя он извлекает из себя и открывает документ PDF на тему БПЛА.Параллельно с этим он в скрытом режиме скачивает несколько архивов с дополнительной вредоносной нагрузкой и консольную утилиту для работы с архивами формата RAR. Консольная утилита используется для распаковки скачанных архивов, а также для сбора интересующих злоумышленников файлов.
За чем охотятся злоумышленники
Злоумышленники собирают в архивы офисные документы с расширениями *.doc и *.docx с дисков C:\, D:\ и E:\; кроме того, их интересует все содержимое папки «Telegram Desktop\tdata», в которой хранятся данные десктопной версии мессенджера Telegram. Сформированные архивы с информацией впоследствии отправляются на почту злоумышленнику с помощью еще одной консольной утилиты, извлеченной из скачанного архива.Помимо этого, атакующие пользуются утилитой восстановления паролей Web Browser Pass View для похищения учетных данных, сохраненных в браузерах, а также тайно от владельца устанавливают в систему легитимную программу для мониторинга активности пользователя.
Она способна перехватывать и записывать нажатие клавиш, мониторить активность в сети Интернет, делать скриншоты, а главное, составлять из перехваченных данных отчеты и отправлять их на электронную почту.
Подобные атаки в прошлом
Атаку на компании, проводимую по подобной схеме, нельзя назвать принципиально новой. Подобные вредоносные рассылки, в которых используется тот же набор инструментов, встречаются как минимум с 2019 года. По большому счету различия состоят в теме документа-приманки и, соответственно, названии вредоносного инсталлятора.До конца 2023 года название вредоносного scr-файла чаще всего включало фразу «1C.Предприятие Платежная накладная», а в 2024 году вложения рассылались с разнообразными именами, например «Проект ТТТ 26.2024-2.scr», «пневмокатапульта с самолетом.step.scr», «аналитическая справка.pdf.scr».
В ходе текущей атаки вредоносные архивы скачиваются с ресурса accouts-verification[.]ru. В июльской волне рассылок для загрузки архивов использовался сайт detectis[.]ru. И в том и в другом случае собранные данные отправляются на сервер hostingforme[.]nl.
Как защититься от подобной атаки
Для того, чтобы защитить компанию от вредоносных рассылок, нужно в первую очередь периодически повышать осведомленность сотрудников о современных киберугрозах и уловках киберпреступников.Кроме того, все рабочие устройства должны быть снабжены надежными защитными решениями, проверяющими запускаемые файлы и блокирующими вредоносный код. Решения Kaspersky детектируют вредоносную нагрузку этой атаки с вердиктом Trojan.Win32.Dedok.art, а также детектируют и блокируют атаку по поведению с вердиктом Trojan.Win32.Generic.
