Эксперты по кибербезопасности зафиксировали кампанию по распространению программы для кражи данных BoryptGrab: вредоносные письма получили как минимум 1256 российских организаций и индивидуальных предпринимателей. Об этом «Газете.Ru» рассказали в компании Positive Technologies.
Злоумышленник использовал взломанные почтовые ящики, а затем продолжал рассылки уже с адресов новых жертв. Среди целей — финансовые и энергетические компании, а также органы власти.
В ходе расследования аналитики изучили файлы, адреса и инфраструктуру злоумышленника, которого назвали VecnaHopper. Они объединили отдельные рассылки в одну кампанию и восстановили не менее пяти массовых волн атак.
В одном из случаев злоумышленник сначала отправил письмо на корпоративный адрес, а спустя восемь дней использовал этот ящик для новой рассылки. Индивидуальные предприниматели составили 44% целей, банки и финансовые организации — 14%, компании ТЭК и органы власти — по 11%. Выраженной отраслевой специализации нет: выбор получателей, вероятно, зависел от доступных контактов.
К письмам прикладывались защищенные паролем архивы с легитимным отладчиком Visual Studio и вредоносной библиотекой, которая при запуске обеспечивала заражение. Письма маскировались под деловую переписку — заказы поставщикам, запросы, уведомления и приказы — и отправлялись со взломанных ящиков российских пользователей, связанных с ИП. В отдельных случаях в копии одного письма были более ста получателей.
BoryptGrab похищает логины, пароли и данные сеансов из браузеров, информацию из Telegram, Discord, Steam и криптокошельков, собирает файлы с рабочего стола и из «Документов», делает скриншоты и отправляет все злоумышленнику. Всего выявлено более 700 образцов, связанных с инфраструктурой VecnaHopper.
«Даже знакомый адрес отправителя не гарантирует, что письмо безопасно: злоумышленник может использовать взломанную почту контрагента. Если вы не ожидали вложение, перед открытием свяжитесь с отправителем другим способом», — отметил Денис Кувшинов, руководитель направления Threat Intelligence и сервиса PT Fusion в Positive Technologies.
Ранее «Лаборатория Касперского» раскрыла три главных темы вредоносных писем в кибератаках.