Файл с названием "док.zip" загружается вместе с полученным электронным письмом
22 августа специалисты ISSP Labs зафиксировали начало новой волны кибератак с использованием официального сайта компании по разработке комплекса бухгалтерского учета Crystal Finance Millennium. Об этом сообщает ЛIГA.net со ссылкой на пресс-службу компании ISSP.
При мониторинге вирусной активности была обнаружена рассылка, в которой был идентифицирован интересный образец. Файл с названием "док.zip" загружается вместе с полученным электронным письмом, которое открывает жертва, и является текстовым файлом со скриптом на языке JavaScrip.
Скрипт является загрузчиком, основная задача которого скачать и запустить исполняемый файл (модуль) load.exe, который становится окном для злоумышленников.
Вредоносный файл собирает информацию о компьютере жертвы и отправляет ее на командные центры злоумышленников. Этот же файл ждет инструкций от злоумышленников на установку дополнительных модулей. Они превращают компьютер жертвы в желаемый для хакеров ресурс (это может быть бэкдор, через который злоумышленники могут проникать в инфраструктуру, минуя средства защиты; кейлогер, который будет собирать информацию о нажатых клавишах и отправлять ее командным центрам; сканнер, который будет собирать информацию о захватываемой инфраструктуре и много другое).
cfm.com.ua – сайт программного комплекса бухгалтерского учета Crystal Finance Millennium.
На данный момент доступ на сайт невозможен. Вместо него стоит заглушка, что ресурс заблокирован администратором хостинг-провайдера Besthosting.
"Вероятно, злоумышленники использовали уязвимости сайта для размещения там вредоносных файлов, либо это результат атаки NotPetya 27.06.2017 (злоумышленники оставили для себя возможность несанкционированного входа и теперь им воспользовались). Так что возможно это первая "ласточка" подготовки полномасштабной кибератаки перед празниками", - сообщают эксперты ISSP Labs.
О возможной массированной хакерской атаке на выходных предупреждал 22 августа и глава наблюдательного совета Octava Capital Александр Кардаков.
Напомним, предыдущая массированная атака вирусом Petya A произошла 27 июня, в канун дня Конституции Украины. Пострадали многие частные и государственные компании Украины, в том числе банки. Компьютеры предприятий и учреждений были тогда заражены через популярную бухгалтерскую программу M.E.Dok.