Хакеры от имени крупнейших брендов устроили атаку с помощью "умных" вещей

Неизвестные атаковали более 50 крупных российских компаний, выдавая себя за представителей известных брендов, в том числе розничных сетей, строительных и нефтяных компаний, рассказал РБК представитель "Ростелеком-Solar" (специализируется на вопросах кибербезопасности), отметив, что активность злоумышленников пришлась на февраль 2019 года. Факт атаки РБК подтвердили представители Group-IB и Positive Technologie.

Злоумышленники атакуют с помощью писем с вредоносным содержанием (фишинг), которые приходят по будням в рабочие часы, пояснил РБК Владимир Дрюков, директор Центра мониторинга и реагирования на кибератаки Solar JSOC "Ростелеком-Solar". Цель хакеров — заражение инфраструктуры шифровальщиком Shade/Troldesh: программа кодирует файлы на устройстве пользователя и требует у него плату за доступ к ним.

"Мы видим эту атаку почти на всех наших клиентов — это около 50 крупнейших компаний России из самых разных отраслей. Их сотрудники получают по 10—50 писем в день в зависимости от размера организации и количества электронных ящиков корпоративной почты", — отметил Дрюков. Обычно частота подобных фишинг-рассылок примерно в три-пять раз ниже.

Эксперты Group-IB фиксировали до 2 тыс. рассылок в день. "Рассылки массовые, нецелевые, то есть не специализированы под какую-либо конкретную отрасль, тип организаций или получателя", — добавил директор экспертного центра безопаcности Positive Technologies Алексей Новиков. Какие именно компании получали фишинговые письма и размер нанесенного злоумышленниками ущерба, собеседники РБК не раскрывают.

Как отмечает представитель "Ростелеком-Solar", киберпреступники направляли письма с вредоносным ПО, в частности, от имени "Ашана", "Магнита", "Славнефти" и ГК "ПИК". Источник на рынке кибербезопасности отметил, что список скомпрометированных компаний шире. Атаки, по его словам, начались еще в ноябре 2018-го, но их пик пришелся на февраль. "Первым, кем на этот раз прикинулся шифровальщик, стал Газпромбанк, рассылки шли якобы от менеджеров этого банка. Спустя две недели злоумышленники "переоделись" в менеджеров банка "Открытие", в декабре — Бинбанка", — сообщил собеседник РБК. В феврале смена брендов продолжилась — использовались варианты прикрытия писем от ГК "Дикси", Metro Cash & Carry и Philip Morris. "Естественно, все эти компании никакого отношения не имеют к рассылке", — добавил он.