Хакеры используют телефонные аферы и новые уязвимости, проникли в 618 компаний

Хакеры из EncryptHub сочетают тактику социальной инженерии с сложными эксплойтами, взламывая более 600 организаций по всему миру.

Исследователи из Trustwave SpiderLabs обнаружили новую хакерскую кампанию группы EncryptHub, которая сочетает телефонные мошенничества с передовыми техническими уловками для взлома компьютеров жертв.

Хакеры начинают, притворяясь сотрудниками технической поддержки и совершая прямые телефонные звонки для установления доверия с их целями. Затем они убеждают жертвы предоставить им доступ к их компьютерам через Microsoft Teams или удаленные рабочие столы. После подключения злоумышленники запускают команды, которые тайно загружают вредоносное ПО.

EncryptHub, также известный как LARVA-208 и Water Gamayun, уже скомпрометировал 618 организаций по всему миру. «Социальная инженерия остается одним из наиболее эффективных инструментов в арсенале киберпреступника, и новая угроза группы EncryptHub активно использует это», — сказали исследователи.

Одним из основных недостатков, используемых в этой кампании, является уязвимость Windows под названием CVE-2025-26633, также известная как «MSC EvilTwin». Это позволяет хакерам обмануть Windows, заставив загрузить поддельные системные файлы, которые запускают вредоносный код. Атакующие используют этот просвет, чтобы взять под контроль зараженные машины.

Хакеры также внедряют новые инструменты. Один из них, называемый «SilentCrystal», скрывает свое вредоносное ПО в поддельных системных папках и загружает полезные нагрузки от Brave Support, легитимной платформы помощи браузеру. Другой — это обратный дверной прокси-сервер SOCKS5, который тайно подключает скомпрометированные компьютеры к командным центрам EncryptHub.

Кроме того, группа создала поддельный сервис видеозвонков, rivatalk.net, чтобы распространять вредоносные установщики, маскирующиеся под программы для конференций. После установки, он запускает скрытые скрипты PowerShell для кражи данных, поддержания доступа и маскировки хакерского трафика как обычной активности в браузере.

Trustwave SpiderLabs предупреждает, что EncryptHub становится все более опасным, смешивая мошенничество, украденное доверие и новые вредоносные программы. Они приходят к выводу, что группа является «хорошо обеспеченным и адаптивным противником», что делает осведомленность пользователей, патчи и быстрый ответ более критичными, чем когда-либо.