Компания Positive Technologies выявила вредоносные рассылки против более чем 1200 российских организаций и индивидуальных предпринимателей. Атакующий отправил опасные письма как минимум 1256 адресатам, используя взломанные почтовые ящики, а затем продолжал рассылки уже с адресов новых жертв.
Среди целей 44 процента составили индивидуальные предприниматели, 14 процентов — банки и организации финансового сектора, по 11 процентов пришлось на компании топливно-энергетической сферы и органы власти. Выраженных отраслевых предпочтений у злоумышленника не было: не исключено, что он оперировал доступными ему контактами.
В ходе расследования эксперты выявили не менее пяти массовых волн атак. В одном случае злоумышленник отправил вредоносное письмо на корпоративный адрес, а спустя восемь дней использовал этот ящик для новой рассылки. К письмам прикладывались защищенные паролем архивы с легитимным отладчиком Visual Studio и вредоносной библиотекой, которая при запуске загружалась и заражала устройство.
Письма маскировались под деловую переписку: заказы поставщикам, запросы, уведомления и приказы. В отдельных случаях в копии одного письма находились более ста получателей. Программа BoryptGrab похищает логины, пароли и данные сеансов из браузеров, а также информацию из Telegram, Discord, Steam и криптовалютных кошельков, собирает файлы с рабочего стола и из папки «Документы», делает скриншоты и отправляет данные злоумышленнику.
Руководитель направления Threat Intelligence и сервиса PT Fusion Денис Кувшинов предупредил, что знакомый адрес отправителя не гарантирует безопасность письма. Если вложение не ожидалось, перед открытием он советует связаться с отправителем другим способом, а при заражении удалить вредоносную программу, сменить пароли с доверенного устройства и завершить сеансы в почте и мессенджерах.