Хакеры используют формы «Свяжитесь с нами» в фишинговой кампании

Исследовательский центр Check Point Research (CPR) обнаружил новую фишинговую кампанию под названием ZipLine, которая переворачивает традиционные махинации, заставляя жертву начать разговор.

CPR объясняет, что в отличие от обычных фишинговых атак, где хакеры начинают контакт, эта новая кампания привлекает жертв через формы «Свяжитесь с нами» компаний.

«В каждом случае именно жертва начинала обмен электронными письмами, который в конечном итоге приводил к заражению,» — сказала CPR. С помощью этого метода злоумышленники создают легитимные, казалось бы, взаимодействия, что помогает им уклониться от обнаружения.

Хакеры вступают в переписку по электронной почте, иногда длительностью в несколько недель, притворяясь деловыми партнерами, и даже просят компании подписать соглашения о неразглашении. В конечном итоге злоумышленники отправляют вредоносный ZIP-файл через Heroku, который работает как подлинная облачная платформа. Однако внутри файла встроен поддельный PDF- или Word-файл, а также скрытый файл-ярлык, который незаметно запускает вредоносный код.

Затем этот код устанавливает MixShell, мощный бэкдор, который позволяет злоумышленникам красть файлы, выполнять команды, и даже действовать в качестве прокси внутри сети жертвы. CPR отмечает, что «MixShell поддерживает операции с файлами, обратное проксирование, выполнение команд и интерактивные сеансы на основе трубопроводов».

В недавних случаях, CPR сообщает, что хакеры использовали тему «AI трансформации», притворяясь, что проводят «оценку влияния AI» для руководства компании. В письме просится сотрудников заполнить короткий опросник, что, как отмечает CPR, является еще одной тактикой для создания доверия.

Атакующие также используют домены, связанные со старыми американскими компаниями, многие из которых кажутся заброшенными, но все еще выглядят законными. Их цели варьируются от малых фирм до компаний из списка Fortune 500, особенно в области производства, аэрокосмической промышленности, потребительской электроники и энергетики.

Согласно CPR, «Эта кампания отражает эволюцию тактик продвинутых фишинговых кампаний». Эксперты по безопасности предупреждают, что даже базовые веб-формы, если они остаются без контроля, могут открыть дверь к крайне вредоносным кибератакам.