Атаки с применением Cobalt Strike снова обрушились на российские компании

Наши специалисты управления киберразведки обнаружили масштабные атаки группировки Lone Wolf, нацеленные на российские логистические, производственные, финансовые организации и компании из сферы розничной торговли

4 августа 2023 г.

Злоумышленники из Lone Wolf реализовали как минимум четыре массовые фишинговые рассылки с 21 по 28 июля. Письма отправлялись по базам корпоративных электронных адресов якобы от имени АО «ТАИФ‑НК», ДЦ «Автосалон 152», «Русагро-Приморье» и УФАС России по Магаданской области.

В трех из четырех рассылок преступники уведомляют получателя о досудебной претензии и требуют в короткий срок погасить задолженность по договору, включая пени за просроченную оплату. В противном случае злоумышленники угрожают обратиться с исковым заявлением в арбитражный суд. Все документы, свидетельствующие о задолженности, прилагаются к письму.

В четвертой рассылке — якобы от Магаданского УФАС России — содержится копия постановления без дополнительных разъяснений.

Чтобы разобраться в ситуации, жертва спешит посмотреть вложения: в выявленных рассылках файлы назывались Досудебное.doc, пп-ас32-4783.doc, акт.xls. При открытии любого из них на устройстве запускается цепочка команд, в результате чего злоумышленники загружают программное обеспечение Cobalt Strike Beacon.

Cobalt Strike Beacon — компонент популярного решения Cobalt Strike. Это коммерческий инструмент, который специалисты по тестированию на проникновение используют, чтобы эмулировать действия атакующих, а злоумышленники — чтобы решать задачи на разных этапах киберинцидента. В зависимости от целей атакующих запуск Cobalt Strike может привести к краже чувствительных данных или их шифрованию, а в ряде случаев — к похищению денег со счетов организации.

Уже довольно давно у различных группировок популярны инструменты вроде Cobalt Strike. Они открывают широкие возможности для достижения цели атаки с использованием минимума дополнительных вредоносных инструментов или позволяют отказаться от них вовсе. Более того, часто Cobalt Strike применяется в компаниях в легитимных целях, что значительно снижает скорость обнаружения его подозрительной активности.

Олег Скулкин

Руководитель управления киберразведки

Фишинговая рассылка — один из главных способов получить первоначальный доступ во время целевых атак. Чтобы защититься от нее, мы рекомендуем пользоваться специализированными решениями, которые блокируют спам и вредоносные письма. Одно из таких — BI.ZONE CESP. Эффективно реагировать на новые угрозы помогут сервисы непрерывного мониторинга IT‑инфраструктуры, например BI.ZONE TDR, который позволит оперативно распознать продвинутые атаки и нейтрализовать угрозы.