В России минимум 1256 организаций и индивидуальных предпринимателей получили письма на электронную почту, содержащие программу для кражи данных BoryptGrab. Среди получателей –финансовые и энергетические компании, а также органы власти.
Электронную почту взламывают и используют для массовой рассылки. Эксперты компании Positive Technologies изучили файлы, адреса и инфраструктуру кампании, объединив в одну серию отдельные рассылки. В результате удалось установить, что это делает один злоумышленник, которого назвали VecnaHopper.
Как пишет издание «Газета.ru», было зафиксировано не менее пяти массовых волн атак. В одной из них сначала на корпоративный адрес электронной почты было отправлено письмо, а через восемь дней его начинали использовать для массовой рассылки. Во вложении злоумышленник прикреплял защищенные паролем архивы с легитимным отладчиком Visual Studio и вредоносной библиотекой, которая при запуске приводила к заражению устройства.
Письма с вредоносом злоумышленник маскировал под деловую переписку, например, заказы поставщикам, запросы, уведомления и приказы. В некоторых сообщениях в копии стояло более ста получателей. Для рассылки писем использовались взломанные ящики российских пользователей, связанных с ИП.
Программа BoryptGrab способна похищать логины, пароли и данные сеансов из браузеров. Также она позволяет злоумышленнику получать данные из Telegram, Discord, Steam и криптокошельков, а также с файлов, находящихся на рабочем столе устройств и в «Документах». Кроме этого, она способна делать скриншоты и отправлять их злоумышленнику.
Всего выявлено более 700 образцов, связанных с инфраструктурой VecnaHopper. В 44% целью атаки становились индивидуальные предприниматели, в 14% – банки и финансовые организации, в 11% – компании ТЭК и органы власти. При этом отмечается, что конкретной цели у злоумышленника нет, вероятно, распространение атак зависит от доступных контактов.
Ранее компания StormWall, специализирующаяся на защите бизнеса от кибератак, зафиксировала DDoS-атаки на российские компании с участием ботов, замаскированных под легитимных ИИ-агентов. Подобные DDoS-атаки уже были выявлены в других странах мира, но в России такие инциденты были обнаружены впервые.
25% сложных мошеннических схем приходится на Петербург и Краснодар
