Злоумышленники тщательно прорабатывают содержание писем и маскируют вредоносные файлы под привычные рабочие документы
С началом нового делового сезона эксперты «Лаборатории Касперского» обращают внимание на целевые атаки на бизнес с применением тщательно подготовленных вредоносных писем. Такие сообщения могут быть рассчитаны на конкретную отрасль, компанию или сотрудника, поэтому злоумышленники стараются сделать их максимально убедительными: например, используют реальные названия организаций, имена и должности, контакты и актуальную повестку, маскируют вредоносные файлы под рабочие документы и защищают архивы паролями. Эксперты предупреждают, что за правдоподобной легендой может скрываться начало многоэтапной атаки: запуск файла способен привести к загрузке вредоносных компонентов или создать условия для получения удалённого доступа к устройству.
Специалисты «Лаборатории Касперского» разобрали несколько примеров подобных писем, которые показывают, насколько разными могут быть схемы злоумышленников.
Срочное согласование документов. В одном из сценариев злоумышленники имитируют деловую переписку по некоему проекту. Получателя просят ускорить согласование технического задания с руководством, поскольку задержка якобы может повлиять на сроки реализации работ. Письмо подписано «главным инженером производства», в тексте указано, что сообщение якобы проверено антивирусом. К нему прикреплён защищённый паролем архив, внутри которого вредоносный файл маскируется под рабочий документ. После его запуска злоумышленники могут получить возможность удалённо подключаться к скомпрометированному устройству.
«Требования по киберзащите». Ещё одна легенда — сообщение якобы от ведомства, в котором говорится о новых требованиях по усилению мер киберзащиты. Получателю предлагают немедленно ознакомиться со «служебной запиской», которая находится во вложении. Однако внутри архива вместо ожидаемого документа скрывается вредоносное ПО, и в случае его запуска под угрозой могут оказаться сохранённые на устройстве пароли и другие данные. Официальный стиль, авторитетный отправитель и требование совершить действие без промедления призваны добавить письму достоверности, а тема информационной безопасности в этом случае становится приманкой.
Визит иностранной делегации. Эксперты также обращают внимание на письма с более необычной легендой, в которых сообщается о планируемом рабочем визите иностранной делегации на российское предприятие — для ознакомления с производственными технологиями, встреч со специалистами и обмена опытом. Для убедительности в сообщении указаны должность предполагаемого отправителя и контакты технического специалиста. К письму прикреплён архив с вредоносным файлом: в случае его запуска злоумышленники смогут собрать информацию о действиях пользователя на устройстве. Таким образом, если сотрудник просто откроет вложение из письма, которое выглядит вполне официально, это может привести к компрометации конфиденциальной информации.
«В целевых атаках злоумышленники стараются сделать письма максимально похожими на привычную рабочую коммуникацию, а иногда добавляют дополнительные элементы доверия — например, пометку о том, что письмо якобы проверено антивирусом. Однако важно обращать внимание на контекст: ожидали ли вы такое письмо или документ, действительно ли его получение связано с вашими рабочими задачами. Особенно внимательно стоит относиться к неожиданным запросам, связанным с финансовыми операциями, учётными данными, установкой каких-либо программ. Рекомендуем не открывать неожиданные вложения и не переходить по ссылкам. В случае малейшего сомнения всегда лучше связаться с отправителем по другому, уже известному каналу коммуникации — например, позвонить по сохранённому номеру телефона или написать на адрес электронной почты, который вы использовали для общения с ним прежде», — говорит Анна Лазаричева, старший спам-аналитик «Лаборатории Касперского».
Чтобы снизить риски, «Лаборатория Касперского» также рекомендует организациям:
· проводить обучающие тренинги для сотрудников, чтобы снизить вероятность успешных атак с использованием методов социальной инженерии, в том числе фишинга, например с помощью онлайн-платформы Kaspersky Automated Security Awareness Platform;
· использовать сложные и уникальные пароли для защиты корпоративных учётных записей и регулярно их обновлять. Для их создания и хранения рекомендуется использовать специализированные менеджеры паролей, например Kaspersky Password Manager для бизнеса;
· разработать план по реагированию на инциденты. Он должен включать в себя сценарии работы сотрудников при наступлении того или иного ИБ-события, список необходимых ресурсов, перечень применяемых инструментов, права и обязанности команды реагирования;
· регулярно обновлять ПО на всех устройствах, чтобы избежать использования уязвимостей злоумышленниками для проникновения во внутреннюю сеть;
· установить решение, которое будет автоматически блокировать подозрительные письма, такое как Kaspersky Security для почтовых серверов;
· внедрять продукты для защиты корпоративных устройств, эффективность которых подтверждается независимыми тестами, к примеру Kaspersky Security для бизнеса.
