Российские пользователи под ударом многоэтапной фишинг-атаки с Amnesia RAT и программами-вымогателями

Российские организации под прицелом сложной фишинг-кампании

Специалисты Fortinet FortiGuard Labs обнаружили многоэтапную фишинг-атаку, нацеленную на пользователей в России. Злоумышленники распространяют программы-вымогатели и троян удаленного доступа Amnesia RAT, используя методы социальной инженерии через документы с бизнес-тематикой для инициации заражения.

Технические детали цепочки атаки

По данным исследователя Fortinet Кары Лин, кампания начинается с вредоносных документов, замаскированных под легитимные файлы, которые обманом заставляют жертв выполнить вредоносный код. Полные технические подробности пока уточняются, однако атака следует многоэтапному процессу заражения, вероятно включающему:

• Первоначальное заражение через фишинговые письма с вооруженными документами
• Исполнение вредоносных макросов или эксплойтов для загрузки вторичных полезных нагрузок
• Развертывание Amnesia RAT для удаленного доступа и поддержания присутствия в системе
• Шифрование программами-вымогателями как финальная стадия атаки

Использование Amnesia RAT указывает на то, что злоумышленники стремятся к долгосрочному доступу к скомпрометированным системам, что позволяет им осуществлять эксфильтрацию данных, латеральное перемещение или развертывание дополнительного вредоносного ПО.

Последствия и анализ угрозы

Эта кампания представляет серьезные риски для российских организаций, включая:

• Утечки данных через возможности трояна удаленного доступа
• Нарушение рабочих процессов из-за шифрования программами-вымогателями
• Финансовые потери в результате требований выкупа или затрат на восстановление
• Потенциал шпионажа, если злоумышленники похищают конфиденциальную информацию

Нацеленность на документы бизнес-тематики свидетельствует о фокусе на корпоративные или государственные структуры, где обмен файлами создает правдоподобное прикрытие для вредоносных вложений.

Рекомендации по защите

Командам кибербезопасности следует внедрить следующие меры защиты:

• Ужесточить политики безопасности макросов, чтобы блокировать их исполнение из ненадежных документов
• Развернуть продвинутые системы фильтрации электронной почты для обнаружения фишинговых приманок
• Мониторить необычное исполнение процессов (например, запуск бинарных файлов из документов)
• Сегментировать сети для ограничения латерального перемещения
• Хранить офлайн-резервные копии для снижения последствий атак программ-вымогателей
• Обучать сотрудников распознавать методы социальной инженерии

Fortinet пока не связывает кампанию с конкретной хакерской группой или известными семействами вредоносного ПО, кроме Amnesia RAT. Продолжается анализ для выявления дополнительных индикаторов компрометации (IOC).

Источник: The Hacker News