Надежная защита от киберугроз нужна каждой компании, но важно понимать, что антивирус— это не лекарство от всех болезней. У истоков большинства атак на компании стоит человеческая ошибка: какой-то сотрудник нажал на вредоносную ссылку, активировал макрос, скачал зараженный файл, и еще масса подобных вариантов. Но в некоторых случаях преступникам даже не приходится использовать зловреды: им удается получить доступ к инфраструктуре компании исключительно с помощью социальной инженерии и легальных технических средств. Вот пара недавних примеров.
Вымогатели, но не шифровальщики
Недавно в Интернете опубликовали новость об активности Luna Moth — группировки, специализирующейся на воровстве корпоративных данных и шантаже. Уникальность Luna Moth состоит в том, что она добывает информацию без использования вредоносного ПО.
Сама атака на компанию начинается с типичной мошеннической рассылки. Преступники притворяются представителями различных онлайн сервисов и убеждают получателей, что они оформили подписку и оплата за нее спишется завтра. Если сотрудник желает отменить оплату или получить дополнительную информацию, то ему или ей необходимо позвонить по телефону, который можно найти в самом письме или в прикрепленном к нему PDF-файле.
Кажется, вот оно — в файле явно есть какой-то подвох! Но нет, вопреки ожиданиям файл не содержит никаких зловредов, а значит, антивирус с большой долей вероятности спокойно пропустит его к пользователю. Задача преступников на этом этапе только в том, чтобы заставить какого-нибудь сотрудника позвонить по номеру.
В случае если им это удается, злоумышленники во время разговора обманом заставляют жертву установить средство удаленного администрирования (RAT — remote administration tool) на свое устройство. Вероятно, они рассчитывают на неопытность жертвы и предлагают ей помочь отказаться от подписки. Формально RAT — это не вредоносная программа, поэтому большинство антивирусов ее пропускают, и далеко не все предупреждают пользователя о потенциальной опасности. В результате преступники получают удаленный доступ и контроль над устройством.
Добавим еще несколько заметок на полях. Во многих случаях преступники устанавливают более одного средства удаленного администрирования на устройство. Поэтому даже если одно из них удалить, другое поможет сохранить контроль и переустановить первое. После получения контроля над компьютером жертвы преступники также часто устанавливают дополнительные инструменты для проведения разведки внутри инфраструктуры, доступа к дополнительным ресурсам и извлечения данных.
View the full article