Хакеры от имени крупнейших брендов устроили атаку с помощью «умных» вещей

Эксперты по кибербезопасности зафиксировали массовую атаку на российский бизнес. Уникальность акции в том, что хакеры маскировались под известные бренды и использовали умные устройства. Это первая массовая атака подобного рода.

Неизвестные атаковали более 50 крупных российских компаний, выдавая себя за представителей известных брендов, в том числе розничных сетей, строительных и нефтяных компаний, рассказал РБК представитель «Ростелеком-Solar» (специализируется на вопросах кибербезопасности), отметив, что активность злоумышленников пришлась на февраль 2019 года. Факт атаки подтвердили РБК представители Group-IB и Positive Technologie.

Злоумышленники атакуют с помощью писем с вредоносным содержанием (фишинг), которые приходят по будням в рабочие часы, пояснил РБК Владимир Дрюков, директор Центра мониторинга и реагирования на кибератаки Solar JSOC «Ростелеком-Solar». Цель хакеров — заражение инфраструктуры шифровальщиком Shade/Troldesh: программа кодирует файлы на устройстве пользователя и требует у него плату за доступ к ним.

«Мы видим эту атаку почти на всех наших клиентов — это около 50 крупнейших компаний России из самых разных отраслей. Их сотрудники получают по 10—50 писем в день в зависимости от размера организации и количества электронных ящиков корпоративной почты», — отметил Дрюков. Обычно частота подобных фишинг-рассылок примерно в три — пять раз ниже.

Эксперты Group-IB фиксировали до 2 тыс. рассылок в день. «Рассылки массовые, нецелевые, то есть не специализированы под какую-либо конкретную отрасль, тип организаций или получателя», — добавил директор экспертного центра безопаcности Positive Technologies Алексей Новиков. Какие именно компании получали фишинговые письма и размер нанесенного злоумышленниками ущерба, собеседники РБК не раскрывают.

Как отмечает представитель «Ростелеком-Solar», киберпреступники направляли письма с вредоносным ПО, в частности, от имени «Ашана», «Магнита», «Славнефти» и ГК «ПИК». Источник на рынке кибербезопасности отметил, что список скомпрометированных компаний шире. Атаки, по его словам, начались еще в ноябре 2018-го, но их пик пришелся на февраль. «Первым, кем на этот раз прикинулся шифровальщик, стал Газпромбанк, рассылки шли якобы от менеджеров этого банка. Спустя две недели злоумышленники «переоделись» в менеджеров банка «Открытие», в декабре — Бинбанка», — сообщил собеседник РБК. В феврале смена брендов продолжилась: использовались варианты прикрытия писем от ГК «Дикси», Metro, Cash & Carry и Philip Morris. «Естественно, все эти компании никакого отношения не имеют к рассылке», — добавил он.