Сучасна кіберзлочинність дедалі частіше використовує легітимні хмарні платформи та корпоративні інструменти як прикриття для реалізації складних багатоступеневих атак, що дозволяє зловмисникам успішно обходити традиційні захисні бар’єри та поштові фільтри.
Еволюція фішингу: чому довірені сервіси стають зброєю хакерів
Дослідники кібербезпеки з компанії Huntress зафіксували тривожну тенденцію, коли для поширення шкідливого програмного забезпечення почали масово застосовувати сервіс бізнес-аналітики Microsoft Power BI. Зловмисники ретельно маскують свої шкідливі інфраструктури під звичні ділові документи, створюючи загальнодоступні інформаційні панелі з розмитими прев’ю, які начебто містять важливу корпоративну чи фінансову звітність.
Дослідники зазначають: посилання на легітимні домени Microsoft дозволяють зловмисникам безперешкодно оминати більшість сучасних корпоративних поштових шлюзів та систем безпеки Microsoft 365.
Механіка інфікування та особливості розгортання загроз
Коли потенційна жертва отримує електронного листа з пропозицією натиснути кнопку завантаження довідки, вона перенаправляється на спеціально підготовлений веб-ресурс, який здійснює попередню перевірку системи на наявність засобів автоматизації або певної конфігурації операційної системи. Після успішного проходження таких перевірок на пристрій автоматично завантажується інсталятор легітимного додатку для віддаленого адміністрування ScreenConnect, який у руках зловмисників перетворюється на повноцінний інструмент постійного контролю.
- Використання довірених платформ для обходу захисних фільтрів пошти.
- Фільтрація відвідувачів за допомогою цільових скриптів перевірки середовища.
- Розгортання кількох екземплярів інструментів віддаленого моніторингу для забезпечення стійкості доступу.
Стратегія подвійного резервування доступу
Особливістю цієї кампанії є те, що після початкового встановлення програми хакери часто розгортають додатковий екземпляр ScreenConnect та інтегрують у систему спеціальні системні завдання для регулярного виконання скриптів. Такий підхід гарантує зловмисникам збереження контролю над інфраструктурою компанії навіть у тому випадку, якщо спеціалісти з безпеки виявлять та заблокують один із каналів зв’язку.
- Первинне завантаження та інсталяція клієнта віддаленого доступу.
- Автоматичне створення резервних з’єднань через альтернативні сервери.
- Інтеграція завдань у середовище Windows для маскування активності.
Експерти наголошують на необхідності підвищення рівня обізнаності співробітників компаній щодо ризиків взаємодії з підозрілими посиланнями, навіть якщо вони ведуть на всесвітньо відомі та перевірені хмарні платформи.
