Ремонт полов
Специалисты по кибербезопасности компании Google зафиксировали новую тактику кибермошенников, которые используют платформу Microsoft Teams для кражи данных и развертывания вредоносного программного обеспечения. Злоумышленники, объединяющиеся в группу под названием UNC6692, применяют изощренные методы социальной инженерии, чтобы создать проблему, а затем предложить её «решение».
Схема атаки: от спама до захвата учетных данных
По данным Google, группа UNC6692 начинает атаку с массовой рассылки спам-сообщений на электронные адреса потенциальных жертв. Вскоре после этого злоумышленники связываются с владельцами этих почтовых ящиков через Microsoft Teams, используя функцию кросс-арендного взаимодействия платформы.
Мошенники представляются сотрудниками IT-поддержки или технического отдела и заявляют, что им поручено «исправить» проблему со спамом. Затем они направляют жертву на фишинговую целевую страницу, где якобы находится решение.
На этой странице пользователям предлагается пройти «проверку состояния» или «авторизоваться», введя свой адрес электронной почты и пароль. Эти данные незамедлительно перехватываются и отправляются на серверы злоумышленников. В отчете Google отмечается, что первая попытка входа в систему на фишинговой странице намеренно завершается неудачей. Это сделано для повышения правдоподобности атаки и предотвращения ввода поддельных или ошибочных паролей.
Смотрите также:
Универсальная магнитная застежка с NFC: новый уровень безопасности для велосипедистов http://domkrat.org/universalnaya-magnitnaya-zastezhka-s-nfc-novyiy-uroven-bezopasnosti-dlya-velosipedistov/.
Интересное по теме: Наушники с искусственным интеллектом: VueBuds научили гаджеты распознавать объекты
Советы в статье "Mantra Micro Cabin: Ультракомпактный мини-дом по доступной цене" здесь.
После «успешной» авторизации страница имитирует «проверку целостности электронной почты», что служит прикрытием для фонового развертывания вредоносной платформы.
Трехкомпонентный вредоносный комплекс «Snow»
По завершении операции жертва видит сообщение об «успешном завершении конфигурации», в то время как злоумышленники уже получают учетные данные и, возможно, устанавливают постоянный доступ к устройству пользователя. Вредоносная платформа получила название «Snow» и состоит из трех инструментов:
- SnowBelt: Это расширение для браузеров на базе Chromium, обеспечивающее постоянство на устройстве за счет регистрации в системе расширений браузера. Расширения часто маскируются под названиями «MS Heartbeat» или «System Heatbeat».
- SnowGlaze: Инструмент для создания аутентифицированного туннеля WebSocket. Он облегчает обмен данными и потенциально позволяет осуществлять их эксфильтрацию (вывод за пределы скомпрометированной системы).
- SnowBasin: Представляет собой бэкдор, который предоставляет злоумышленникам полный контроль над конечной точкой, то есть над устройством пользователя.
