PT — о вредоносных рассылках против компаний

Эксперты направления киберразведки экспертного центра безопасности PT (PT ESC TI) зафиксировали кампанию по распространению программы для кражи данных BoryptGrab.

Атакующий направил вредоносные письма как минимум 1256 российским организациям и индивидуальным предпринимателям. Он использовал взломанные почтовые ящики, а затем продолжал рассылки уже с адресов новых жертв. Среди целей — финансовые и энергетические компании, а также органы власти.

В ходе расследования эксперты проанализировали вредоносные файлы, почтовые адреса и инфраструктуру злоумышленника, которого назвали VecnaHopper. С помощью PT Fusion исследовали связи между образцами BoryptGrab, доменами и IP-адресами. Это позволило объединить отдельные рассылки в одну кампанию и восстановить не менее пяти массовых волн атак. В одном из случаев специалисты проследили, как злоумышленник сначала отправил вредоносное письмо на корпоративный адрес, а спустя восемь дней использовал уже этот ящик для новой рассылки.

Индивидуальные предприниматели составили 44% выявленных целей, банки и финансовые организации — 14%, компании топливно-энергетической сферы и органы власти — по 11%. Выраженной отраслевой специализации у кампании не обнаружено: выбор получателей, вероятно, зависел от доступных злоумышленнику контактов. К письмам прикладывались защищенные паролем архивы. Внутри находились легитимный отладчик Visual Studio и вредоносная библиотека: при запуске программы она загружалась и обеспечивала дальнейшее заражение устройства.

Письма маскировались под привычную деловую переписку: заказы поставщикам, запросы, уведомления и приказы. Атакующий отправлял их со взломанных почтовых ящиков российских пользователей, связанных с индивидуальной предпринимательской деятельностью. В отдельных случаях в копии одного письма находилось более ста получателей. По оценке экспертов, атакующий мог брать контакты из переписки жертв и использовать их для дальнейших атак. Письмо от реального контрагента при этом могло вызывать у получателей меньше подозрений.

BoryptGrab похищает логины, пароли и данные сеансов из браузеров, информацию из Telegram, Discord, Steam и криптовалютных кошельков. Программа также собирает файлы с рабочего стола и из папки «Документы», делает скриншоты и отправляет полученные сведения злоумышленнику. Всего эксперты выявили более 700 образцов, связанных с инфраструктурой VecnaHopper.

«Даже знакомый адрес отправителя не гарантирует, что письмо безопасно: злоумышленник может использовать взломанную почту контрагента. Если вы не ожидали получить вложение, перед открытием свяжитесь с отправителем другим способом. При заражении необходимо удалить вредоносную программу, сменить скомпрометированные пароли с доверенного устройства и завершить сеансы в почте, мессенджерах и других сервисах, к которым мог получить доступ атакующий. Стилер похищает не только пароли, но и данные сеансов, поэтому одной смены пароля может быть недостаточно. Также важно проверить, не отправлялись ли с пострадавшего ящика вредоносные письма, и предупредить их получателей», — отметил Денис Кувшинов, руководитель направления Threat Intelligence и сервиса PT Fusion в Positive Technologies.