Хакеры впервые использовали отечественную программу удаленного доступа для атаки на российские компании. Эксперты управления киберразведки BI.Zone зафиксировали такую атаку группировки Quartz Wolf на гостиничный бизнес. Злоумышленники задействовали программу, которую в собственных целях используют различные компании. Об этом CNews сообщили представители BI.Zone.
Хакеры рассылают фишинговые электронные письма от лица компании «Федеральный гостиничный сервис». Это система для электронной передачи гостиницами в МВД данных о постановке и снятии с миграционного учета, а также сведений по регистрационному учету. В сообщениях атакующие якобы уведомляют о вступивших в силу изменениях в процедуре регистрации, с которыми необходимо срочно ознакомиться по приложенной ссылке. Если открыть эту ссылку, запускается вредоносный файл и устанавливается российское решение для удаленного доступа «Ассистент», продукт воронежской ИТ-компании «Сафиб». Удаленный доступ позволяет атакующим перехватывать управление скомпрометированной системой, блокировать устройства ввода, копировать файлы, модифицировать реестр, использовать командную строку Windows и т. д. Это открывает широкие возможности злоумышленникам — от кражи учетных данных для входа в бизнес-системы, передачи данных клиентов на сторонний сервер до совершения операций в банковском ПО от имени жертвы.
Злоумышленники часто применяют иностранные инструменты удаленного доступа, чтобы закрепиться в инфраструктуре взломанной компании. Самые популярные программы для этого — TeamViewer, AnyDesk и AmmyAdmin. Сейчас многие российские организации переходят на отечественное ПО и для них стало возможным блокировать зарубежный софт, который могут использовать злоумышленники. Поэтому хакеры тоже адаптировала атаки и начали использует отечественные решения для удаленного доступа, чтобы обойти традиционные средства защиты.
«Использование легитимных средств позволяет атакующим оставаться незамеченными в скомпрометированной сети продолжительное время, особенно если такое ПО уже используется организацией. На примере Quartz Wolf мы видим, что злоумышленники следят за трендами импортозамещения. Они меняют методы, чтобы их действия по-прежнему выглядели как активность обычных пользователей», — отметил Олег Скулкин, руководитель управления киберразведки BI.Zone.