Обзор новостей информационной безопасности с 14 по 20 марта 2025 года

Дайджест Start X № 413

20 марта 2025

9 минут

эксперт в информационной безопасности в Start X

Андрей Жаркевич

эксперт в информационной безопасности в Start X

Андрей Жаркевич

Киберкампании

Обнаружена масштабная фишинговая кампания, имитирующая сервис бронирования Booking.com

Как действуют преступники

Фишинговые письма рассылались сотрудникам гостиничного бизнеса в Северной Америке, Океании, Южной и Юго-Восточной Азии, а также во всех регионах Европы.
Атакующие отправляли поддельные сообщения от имени Booking.com, используя разнообразные предлоги: негативные отзывы гостей, запросы на бронирование, предложения по онлайн-продвижению, подтверждение учётной записи.
В атаке использовался метод ClickFix, который эксплуатирует естественное стремление человека решать проблемы: злоумышленники создавали поддельные страницы с ошибками или предупреждениями, побуждая жертву ввести команду в системное окно «Выполнить».
Эта команда, добавленная в буфер обмена, приводит к загрузке и запуску вредоносного ПО через «mshta.exe». Такой подход позволяет обойти автоматические системы защиты, поскольку атака требует непосредственного взаимодействия пользователя.

Центр исследования киберугроз Solar 4RAYS зафиксировал новую волну масштабной фишинговой атаки, направленной на сотрудников различных российских организаций

Особенности кампании

Вредоносные письма, направленные российским организациям, маскировались под официальные уведомления от Межрайонного отдела судебных приставов по ИПНО города Москвы.
Внутри каждого письма находился архив с именем, имитирующим исполнительный лист, например, «Исполнительный лист № 27 186 421−25 от .zip».
Внутри архива скрывался вредоносный исполняемый файл, который в ходе запуска устанавливал на хост жертвы DarkWatchman RAT.
Исполняемый файл содержит иконку PDF-документа, чтобы визуально имитировать легитимный документ и обмануть пользователей.
При запуске этот файл загружает, расшифровывает и запускает вредонос.

Эксперты F6 предупреждают о новой схеме мошенничества нацеленной на жителей России, находящихся в поиске работы

Схема кампании

Организаторы преступной схемы похищают аккаунты пользователей Telegram, которые ищут работу. Цель злоумышленников на первом этапе — убедить потенциальную жертву оставить резюме.
Мошенники размещают объявления о поиске сотрудников с высокой зарплатой и другими привлекательными условиями. Преступники могут указать любую должность: курьера, строителя, разнорабочего или топ-менеджера крупной компании.
Для публикации фейковых вакансий злоумышленники используют все возможные площадки: популярные платформы бесплатных объявлений и сервисы поиска работы, профильные Telegram-чаты и группы в социальных сетях. Фейковые вакансии в крупных группах участники преступной схемы продвигают с помощью рекламы.
Мошенники стремятся создать образ рекрутера, вызывающий максимальное доверие: покупают для своего аккаунта Premium, используют для аватара изображения в деловом стиле, в описании указывают рабочие часы, настраивают автоответчик.
Если пользователь откликнется на фейковую вакансию на сайте бесплатных объявлений или сервисе поиска работы, мошенники спрашивают номер его телефона и сразу же предлагают перевести общение в WhatsApp или Telegram.
В переписке соискателя просят заполнить резюме и присылают ссылку на фишинговый ресурс.
На первой странице предлагается указать личную информацию, включая имя, фамилию, адрес проживания и e-mail, на второй странице — опыт работы и навыки.
На третьей странице пользователь видит надпись: «Резюме готово! Для подтверждения отправки резюме вам нужно пройти авторизацию через Telegram». Если пользователь введёт в открывшейся форме номер своего телефона, а в следующей — код подтверждения из смс от Telegram, то злоумышленники моментально получают доступ к его аккаунту.
После угона аккаунта по всем контактам и чатам пользователя начинается автоматическая массовая рассылка сообщений от имени «Единой России» с предложением пройти опрос за деньги.

10. Под предлогом прохождения опроса потенциальным жертвам предлагается перейти по ссылке.
11. При переходе по ссылке пользователь Android-устройства видит страницу поддельного магазина приложений Google Play, с которой предлагается скачать фейковое приложение. В приложении скрыт троян, поэтому сразу после установки оно запрашивает разрешение на доступ к контактам и смс.
12. Затем пользователя перенаправляют на интернет-страницу, на которой предлагается заполнить форму с данными: ввести ФИО, номер банковской карты, телефон и СНИЛС.
13. Получив эти сведения и контроль над устройством, они могут списать деньги с банковского счёта жертвы, перехватывая с помощью трояна смс для подтверждения перевода.
14. Если у пользователя устройство на iOS, то установить приложение он не сможет: ему предложат пройти опрос и заполнить фишинговую форму, указав помимо прочего номер банковской карты.

Злоумышленники используют новую схему около месяца. За это время от действий мошеннической группы пострадали 770 человек, у которых похитили 5 921 500 рублей. Средняя сумма ущерба составила 7 690 рублей.

Инциденты

Вымогатели заблокировали инфраструктуру министерства здравоохранения микронезийского штата Яп

Жителям штата сообщили, что департамент здравоохранения потерял доступ к интернету, а все цифровые медицинские системы и серверы электронной почты недоступны. Власти заверили, что медицинские услуги продолжают оказываться, но их скорость значительно снизилась из-за возникших нарушений.

Сейчас ведомство сотрудничает с частными IT-подрядчиками и госструктурами для восстановления работы системы, выяснения степени проникновения хакеров и установления масштабов утечки данных. На данный момент ни одна группировка не взяла на себя ответственность за атаку.

Western Alliance Bank (WAB), дочерняя компания Western Alliance Bancorporation в США, уведомила почти 22 тыс. клиентов о компрометации их личной информации

Инцидент произошёл в октябре 2024 года из-за взлома программного обеспечения для безопасной передачи файлов стороннего поставщика, используемого WAB. Злоумышленники воспользовались уязвимостью нулевого дня и получили несанкционированный доступ к ограниченному числу банковских систем.

Об утечке стало известно лишь после того, как злоумышленники слили некоторые из украденных файлов. Украденные файлы содержали конфиденциальные данные клиентов: имена, номера социального страхования, даты рождения, реквизиты финансового счета, номера водительских прав, идентификационные номера налогоплательщиков и паспортные данные.

Телеграм-канал Start X

Наши разборы мошеннических схем поймет даже бабушка

Хакерская группировка Babuk опубликовала объявление о продаже сведений более 600 млн клиентов и 8 млрд заказов китайского маркетплейса Taobao

Похищенные данные разделены на два архива общим объемом более двух терабайт: один размером 600 гигабайт в формате tar. gz, второй — 1,8 терабайта в формате CSV. В них содержатся идентификаторы платформы, телефоны, имена, адреса, детали покупок, цены и даты транзакций.

Достоверность заявлений пока остается под вопросом. В тексте объявления, написанном на ломаном английском, даже в записи чисел допущены ошибки.

Что еще почитать

Дайджест Start X № 410

Актуальные киберкампании и инциденты информационной безопасности с 21 по 27 февраля 2025 года

Дайджест Start X № 411

Актуальные киберкампании и инциденты информационной безопасности с 28 февраля по 6 марта 2025 года

Дайджест Start X № 412

Актуальные киберкампании и инциденты информационной безопасности с 7 по 13 марта 2025 года

Подпишитесь на дайджест Start X

Еженедельная подборка материалов и аналитики про цифровые атаки на людей, технологии защиты, безопасность инфраструктуры и приложений

Нажимая кнопку «Отправить заявку» вы соглашаетесь с политикой обработки персональных данных.