CERT Ukraina: Uważaj na fałszywe aktualizacje systemu Windows rozpowszechniane za pośrednictwem wiadomości e-mail domeny programu Microsoft Outlook

Zespół reagowania na incydenty komputerowe (CERT) Ukrainy wydał ostrzeżenie o złośliwej kampanii polegającej na rozpowszechnianiu fałszywych aktualizacji systemu Windows za pośrednictwem wiadomości e-mail. Te fałszywe e-maile są oczywiście złośliwe i wymierzone w ukraińskich urzędników. CERT zauważa, że ​​cyberprzestępcy używają domeny Outlook.com, aby wyglądać na legalną, a temat tych wiadomości jest zwykle oznaczony jako „Windows Update”, co jest sposobem na uproszczenie. CERT dodaje, że kampania jest prowadzona przez grupę APT28, która jest sklasyfikowana jako grupa szkodliwego oprogramowania Advanced Persistent Threat z Rosji. Znany jest również pod innymi nazwami, takimi jak między innymi Fancy Bear, Pawn Storm.

W swoim biuletynie CERT wyjaśnia (przetłumaczone przez Google na język angielski):

W kwietniu 2023 r. rządowy zespół ds. reagowania na incydenty komputerowe Ukrainy CERT-UA odnotował przypadki dystrybucji wiadomości e-mail o temacie „Windows Update” wśród organów rządowych Ukrainy, wysyłanych najwyraźniej w imieniu administratorów systemów departamentów. Jednocześnie adresy e-mail nadawców utworzone w serwisie publicznym „@outlook.com” mogą być tworzone przy użyciu prawdziwego nazwiska i inicjałów pracownika.

Jeśli zastanawiasz się, w jaki sposób cyberprzestępcy dostarczają ładunek, CERT wyjaśnia, że ​​fałszywa wiadomość e-mail zasadniczo zawiera instrukcje niezbędne do przeprowadzenia ataku. Udostępniane są obrazy ( zobacz tutaj ), aby pomóc ofiarom zainstalować złośliwe oprogramowanie na ich własnych systemach. Odbywa się to za pomocą polecenia PowerShell, które następnie pobiera skrypt „przeznaczony do zbierania podstawowych informacji o komputerze za pomocą poleceń„ lista zadań ”,„ informacje systemowe ” i wysyłania otrzymanych wyników za pomocą żądania HTTP do interfejsu API usługi Mocky. kampania zasadniczo opiera się na naiwności samych potencjalnych ofiar w infekowaniu ich systemów.

Oficjalne ogłoszenie CERT można znaleźć tutaj .