Код ученый: зафиксирован всплеск вредоносных рассылок якобы от вузов

Присвоить знание

С начала этого года сотрудники российских компаний стали в 200 раз чаще получать письма якобы от известных вузов, сообщили «Известиям» в «Лаборатории Касперского». Там уточнили: в январе специалисты фиксировали всего несколько десятков подобных сообщений в день. А 13 апреля было обнаружено около 2 тыс. таких писем. Эта дата стала пиком активности злоумышленников, использующих новую схему.

Как рассказали в компании, в сообщении хакер может представиться сотрудником или подрядчиком университета и сообщить, что выслал некое «предложение», «приложил бюджет» или просит посмотреть заказ или прайс-лист, находящийся во вложении. Когда пользователь открывает этот документ, запускается вирус. С его помощью злоумышленник может загружать в систему любые файлы, выгружать из нее конфиденциальные данные, в том числе пароли и документы, и запускать какие-либо команды для дальнейшего заражения.

Вредоносные письма были написаны в том числе от имени МГУ им. М. В. Ломоносова, Бухарестского университета Румынии, Рейнско-Вестфальского технического университета города Ахена, Университета Аристотеля в Салониках, Анкарского университета, Автономного Университета Нуэво-Леон, Католического университета Боливии. «Известия» направили запросы в перечисленные вузы и Минобрнауки.

Для убедительности злоумышленники используют логотипы университетов и ссылаются на какого-либо известного сотрудника вуза. Однако при внимательном прочтении обнаруживается несколько нюансов, рассказал руководитель группы защиты от почтовых угроз в «Лаборатории Касперского» Андрей Ковтун.

— Во-первых, адрес, с которого пришло сообщение, часто не имеет отношения к университету. Во-вторых, несвязность текста наводит на мысль, что это автоматический перевод с другого языка — то, чего, скорее всего, не допустит представитель вуза, — пояснил эксперт.

Более того, в рассылке часто используется классический прием спамеров — исполняемый файл с двойным расширением вроде pdf.exe, предупредил Андрей Ковтун.

Фишинг-тренды

Подражание деловой переписке в рассылках с вредоносным ПО стало чуть ли не трендом последних лет среди злоумышленников. Обращение к обезличенным «партнерам» или «поставщикам» призвано вызвать больше доверия у потенциальной жертвы, пояснил Андрей Ковтун. На тот же эффект, видимо, рассчитано и упоминание известных университетов.

— Учитывая разнообразие вузов и контактных данных в рассылках, можно предположить, что спамерам попалась соответствующая база данных. Что неожиданно сыграло им на руку, так как обращение к авторитету вуза способно придать достоверности даже вредоносным письмам, — сказал эксперт.

Аналогичного мнения придерживается менеджер продукта компании R-Vision Даниил Бородавкин. По его словам, почтовый фишинг, как правило, опирается на уязвимости прикладного ПО и социальную инженерию.

— Отсюда и такая популярность мошеннических рассылок у злоумышленников от имени доверенных источников — госорганов, вузов, популярных интернет-сервисов, — отметил эксперт.

Забытое старое

В ноябре 2020 года хакеры уже пользовались схемой, похожей на описанную, отметили в пресс-службе компании Group-IB. Тогда злоумышленники рассылали письма якобы от имени ректора МГУ Виктора Садовничего и просили получателей ознакомиться с прикрепленным документом — описанием бюджета на 2020 год — и оперативно выслать свое коммерческое предложение.

При этом сами письма были написаны довольно безграмотно, со стилистическими ошибками, порядок слов и предложений указывал на машинный перевод, отметили в компании. Там добавили, что ученая степень ректора была указана неверно: Садовничий — не доктор философии, а доктор физико-математических наук. В теле письма содержались ссылки, большая часть из которых вела не на сайты структур МГУ, а на ресурсы Белградского университета. Судя по всему, злоумышленники поленились отредактировать или проверить сообщение перед рассылкой, что может говорить о подобных атаках от имени других университетов, добавили специалисты.

В фейковых письмах злоумышленники указывали в качестве отправителей адреса admin@msu.ru или admin@rector.msu.ru, но в действительности рассылка уходила с скомпрометированного сервера португальского отеля в городе Авейру. При этом схема заражения была такая же.

Правила кибергигиены

Специалисты по информационной безопасности рекомендуют внимательно читать любые письма — даже с известных адресов. Следует задать себе вопросы, должен ли вам писать этот человек, относится ли тема к вашим компетенциям, есть ли в письмах подозрительные, нетипичные вложения, верна ли подпись. Кроме того, стоит перепроверить информацию о предлагаемых услугах и сервисах, предупредил руководитель группы исследования угроз Positive Technologies Денис Кувшинов.

— В качестве рекомендаций здесь сработают стандартные правила кибергигиены: не переходите по подозрительным ссылкам, которые вам присылают в мессенджеры, на электронную почту, не открывайте вложения, а также учитывайте факт социальной инженерии, — отметил эксперт.

Даниил Бородавкин добавил, что также важно своевременно обновлять прикладные программы и запретить прием электронных писем с вредоносными файлами. Также эксперт посоветовал пользоваться почтовыми фильтрами, песочницами (среда, где запускается потенциально небезопасное содержимое и автоматически исследуется его воздействие на систему) и антивирусами.

Иван Черноусов