BoryptGrab атаковал банки и бизнес через почту контрагентов

17 минут назад

© Сгенерировано нейросетью

Эксперты Positive Technologies выявили кампанию по распространению стилера BoryptGrab, в которой вредоносные письма получили не менее 1 256 российских организаций и индивидуальных предпринимателей. Среди адресатов были банки и финансовые организации — на них пришлось 14% выявленных целей. Об этом сообщал ТАСС со ссылкой на данные компании.

Особенность кампании в том, что злоумышленники использовали скомпрометированные почтовые ящики реальных организаций, а затем рассылали вредоносные вложения их деловым контактам. Письма маскировались под обычный документооборот: «Заказ поставщику», «Уведомление», «Информационное письмо».

«Главная особенность таких атак — сочетание социальной инженерии, компрометации реальных почтовых ящиков и механизма дальнейшего распространения вредоносного ПО через деловые контакты пострадавших организаций», — рассказал Виктор Казаков, ведущий специалист направления киберразведки PT ESC TI Positive Technologies.

В отличие от классического фишинга, письма в этой кампании отправлялись не с поддельных доменов, а через легитимную инфраструктуру скомпрометированных компаний. Поэтому название организации, адрес отправителя и контактные данные могут выглядеть достоверно даже при дополнительной проверке.

«Письма отправляются через реальные почтовые серверы жертвы, с IP-адресов её почтовых шлюзов, которые могут иметь положительную репутацию и проходить стандартные проверки подлинности отправителя», — отметил Казаков.

Как ранее писал RUБЕЖ, корпоративная почта остаётся одним из ключевых каналов распространения фишинга, вредоносных вложений и BEC-атак. В случае с BoryptGrab риск усиливает использование защищённых паролем архивов: их содержимое не всегда доступно для автоматической проверки почтовыми шлюзами и антивирусами.

Письмо встраивается в привычный процесс

Для банков и торговых сетей такие письма особенно опасны из-за большого объёма регулярной переписки с поставщиками, логистическими операторами, подрядчиками и другими контрагентами. В зоне риска находятся подразделения, которые ежедневно обрабатывают счета, накладные, заказы и коммерческие предложения.

«Наибольшему риску подвержены подразделения, сотрудники которых регулярно взаимодействуют с внешними организациями и обрабатывают поступающие от них документы. Прежде всего это закупки, логистика и бухгалтерия», — пояснил Казаков.

Эта схема опасна именно потому, что вредоносное письмо попадает в уже существующий рабочий сценарий, считает Никита Малов, основатель и управляющий партнёр аналитической компании «ДОВОД».

«Счёт, накладную и акт сверки сотрудник открывает по должности. У банка и торговой сети документы идут потоком от множества поставщиков и подрядчиков, и письмо от знакомого партнёра вопросов не вызывает», — отметил он.

Компрометация учётной записи сотрудника бухгалтерии может открыть доступ к финансовой переписке, платёжным документам и корпоративным системам. При наличии соответствующих полномочий и возможности преодолеть дополнительные механизмы подтверждения операций возникает риск доступа к дистанционному банковскому обслуживанию.

HR-подразделения также регулярно получают вложения от неизвестных отправителей под видом резюме или кадровых документов. Отдельного внимания требуют аккаунты сотрудников служб безопасности: они могут иметь расширенные права доступа к внутренним сервисам и конфиденциальной информации.

По словам Казакова, злоумышленники могут автоматически собирать адреса контрагентов из скомпрометированной переписки и рассылать вредоносные вложения по найденным контактам. Каждая новая компрометация в таком сценарии расширяет круг потенциальных жертв.

Адрес отправителя больше не гарантирует безопасность

Когда адрес, тема письма и история переписки настоящие, признаком угрозы может стать отклонение от привычного порядка взаимодействия с контрагентом. Например, поставщик годами передавал документы через ЭДО, но внезапно прислал архив; счёт поступил вне графика поставок; сумма не соответствует заказу; появились новые реквизиты или требование срочно провести оплату.

«Точные детали поставки ещё не доказывают, что пишет контрагент: их видит всякий, кто получил доступ к его ящику», — подчеркнул Малов.

Эксперт называет архив с паролем тревожным признаком. Пароль, указанный в том же письме, не защищает документ от посторонних: он может использоваться для того, чтобы затруднить автоматическую проверку содержимого защитными решениями. Такие вложения целесообразно отправлять в карантин до подтверждения их легитимности через другой канал связи с отправителем.

Почему фильтрации почты недостаточно

Внутри архива, по данным Казакова, находятся легитимный исполняемый файл и поддельная DLL-библиотека. Для запуска вредоносного кода используется техника DLL sideloading. Относительная новизна BoryptGrab также могла ограничивать его первоначальное обнаружение средствами защиты, которые в основном опираются на сигнатурный анализ.

«Для противодействия подобным атакам необходим многоуровневый подход, поскольку одной только фильтрации электронной почты недостаточно», — считает Казаков.

Он рекомендует проверять подозрительные вложения, особенно архивы с паролем, в изолированной среде и ограничивать запуск исполняемых файлов из пользовательских и временных каталогов. Также необходимы многофакторная аутентификация, контроль аномальных входов и подозрительной активности в корпоративной почте.

Для защиты платежей важно разделить полномочия внутри компании. «Смену реквизитов проверяет тот, кто платит, и только другим каналом: по телефону из договора, номер из письма для этого не годится», — отметил Малов.

По его мнению, новые банковские реквизиты следует вносить в справочник контрагентов только после независимой проверки, а сама процедура не должна зависеть от решения одного сотрудника. Такой подход снижает риск, что компрометация одного почтового ящика или ошибка работника приведут к несанкционированному платежу.

Если компрометация уже произошла, одной смены пароля недостаточно. Компании следует завершить активные сессии в почте, мессенджерах и других сервисах, проверить подозрительные входы и исходящую переписку. Скомпрометированный ящик мог использоваться для рассылки вредоносных сообщений деловым партнёрам.

О наиболее распространённых сценариях фишинга под банки и маркетплейсы и признаках мошеннических сообщений читайте в материале RUБЕЖ: «Фишинг под банки и маркетплейсы: эксперт назвал самые опасные сценарии мошенничества и как им противодействовать».