Pexels

Неизвестные атаковали более 50 крупных российских компаний, выдавая себя за представителей известных брендов, в том числе розничных сетей, строительных и нефтяных компаний. Об этом рассказал РБК представитель «Ростелеком-Solar» (специализируется на вопросах кибербезопасности), отметив, что активность злоумышленников пришлась на февраль 2019 года.

Злоумышленники атакуют с помощью писем с вредоносным содержанием (фишинг), которые приходят по будням в рабочие часы, пояснил Владимир Дрюков, директор Центра мониторинга и реагирования на кибератаки Solar JSOC «Ростелеком-Solar». Цель хакеров — заражение инфраструктуры шифровальщиком Shade/Troldesh: программа кодирует файлы на устройстве пользователя и требует у него плату за доступ к ним.

«Мы видим эту атаку почти на всех наших клиентов — это около 50 крупнейших компаний России из самых разных отраслей. Их сотрудники получают по 10–50 писем в день в зависимости от размера организации и количества электронных ящиков корпоративной почты», — отметил Дрюков. Обычно частота подобных фишинг-рассылок примерно в три-пять раз ниже. Эксперты Group-IB фиксировали до 2 тыс. рассылок в день. «Рассылки массовые, нецелевые, то есть не специализированы под какую-либо конкретную отрасль, тип организаций или получателя», — добавил директор экспертного центра безопаcности Positive Technologies Алексей Новиков.

Как отмечает представитель «Ростелеком-Solar», киберпреступники направляли письма с вредоносным ПО, в частности, от имени «Ашана», «Магнита», «Славнефти» и ГК «ПИК». «В большинстве случаев используются именно эти бренды, что характерно для фишинга, не таргетированного на конкретную отрасль. Пытаются сделать атаку как можно более массовой и увеличить охват», — пояснил Владимир Дрюков.

Источник на рынке кибербезопасности отметил, что список скомпрометированных компаний шире. Атаки, по его словам, начались еще в ноябре 2018-го, но их пик пришелся на февраль. «Первым, кем на этот раз прикинулся шифровальщик, стал Газпромбанк, рассылки шли якобы от менеджеров этого банка. Спустя две недели злоумышленники «переоделись» в менеджеров банка «Открытие», в декабре — Бинбанка», — сообщил собеседник РБК. В феврале смена брендов продолжилась — использовались варианты прикрытия писем от ГК «Дикси», Metro Cash & Carry и Philip Morris. «Естественно, все эти компании никакого отношения не имеют к рассылке», — добавил он.

Сам по себе фишинг не является экзотическим способом атаки, отмечает один из собеседников РБК на рынке кибербезопасности. Но массовую маскировку под бренды популярных розничных сетей специалисты фиксируют впервые.

Особенность новой волны атак — использование «умных» устройств, например, роутеров, расположенных в странах Азии, Латинской Америки, Европы, в том числе и в России.

Консультант по информационной безопасности ГК InfoWatch Ирина Казакова считает, что с развитием «умных» устройств количество хакерских атак с их помощью будет расти.