1334
Дослідники кібербезпеки стали мішенню незвичайної кампанії, у якій зловмисник видавав себе за представника відомого криптовалютного медіа й запрошував спеціалістів на неіснуючу конференцію. Справжньою метою було змусити жертв відкрити документ і встановити шкідливе програмне забезпечення.
Атака відбувалася приблизно в той самий період, коли в США проходили великі конференції Black Hat і Def Con — події, на які щороку приїжджають тисячі фахівців із кібербезпеки.
Зловмисник знаходив потенційні цілі в X, відповідав їм публічно або писав у приватні повідомлення. Після короткого спілкування він запитував, чи планує людина відвідати ще одну конференцію.
Далі атакувальник згадував захід, який нібито організовує відомий криптовалютний новинний сайт.
Один із дослідників компанії Huntress вирішив не переривати спілкування, а простежити за схемою, щоб зрозуміти, який інструмент використовує нападник.
У процесі зловмисник надіслав посилання на Google Docs. Саме звичайний хмарний документ мав створити відчуття безпеки й професійності запрошення.
Подальші інструкції були побудовані так, щоб користувач сам виконав дії, необхідні для встановлення шкідливого коду.
Використання Google Docs та реальних професійних тем ускладнює виявлення атаки. Посилання веде не на очевидно підозрілий домен, а на сервіс, яким фахівці користуються щодня.
Окремо показовим є вибір цілей. Дослідники кібербезпеки краще за звичайних користувачів розпізнають фішинг, але водночас регулярно отримують запрошення на конференції, інтерв’ю й професійні заходи.
Саме тому нападники дедалі частіше будують атаки навколо дуже конкретного контексту жертви, а не масових листів із очевидними помилками.
Інцидент нагадує, що навіть посилання на легальний хмарний сервіс не гарантує безпеки, якщо сама історія навколо документа створена зловмисником.
Huntress оприлюднила деталі кампанії після того, як її дослідник навмисно продовжив діалог із нападником. Це дало змогу розібрати послідовність соціальної інженерії без фактичного зараження робочого комп’ютера.
Такі цільові атаки відрізняються від звичайного масового фішингу тим, що зловмисник спочатку створює правдоподібний професійний контакт, а шкідлива дія з’являється лише на наступному етапі розмови.
Джерело: TechCrunch
