CERT-UA попереджає про таргетовані кібератаки через месенджер Signal

Зловмисники розгорнули таргетовані кібератаки на військових і представників державних структур України, розповсюджуючи троян DarkCrystal RAT через месенджер Signal. Троян маскується під легітимні файли та заражає комп’ютер, якщо його відкрити.

Урядова команда реагування на комп’ютерні надзвичайні події України (CERT-UA) інформує про нещодавні таргетовані кібератаки, спрямовані на представників державних органів, військових і працівників оборонних підприємств. У цих атаках зловмисники використовують троян віддаленого доступу DarkCrystal RAT, який розповсюджується засобами месенджера Signal.

Особливості атак

  • Використання Signal: зловмисники розповсюджують шкідливе програмне забезпечення через месенджер Signal.
  • Соціальна інженерія: зловмисники можуть використовувати знайомі жертві імена та групи контактів для підвищення рівня довіри до повідомлень.
  • Файл зі шкідливим кодом: зловмисники надсилають жертві архів, пароль до нього, а також повідомлення щодо необхідності відкриття файлу саме на комп’ютері.

Алгоритм атак

  • Файл-приманка: зазвичай зловмисний архів містить шкідливий файл (розширення .pif, .exe), який своєю чергою є RARSFX-архівом.
  • Вкладені файли: RARSFX-архів містить VBE-файл, LNK-файл і EXE-файл.
  • Зараження: запуск EXE-файлу призводить до інфікування комп’ютера трояном DarkCrystal RAT.
  • Наслідки: DarkCrystal RAT створює технічну можливість для отримання прихованого несанкціонованого доступу до комп’ютера жертви.

Рекомендації CERT-UA

  • Будьте обережними: експерти вкотре помічають тенденцію до підвищення інтенсивності кібератак із використанням месенджерів і легітимних скомпрометованих облікових записів.
  • Не відкривайте підозрілі файли: за отримання підозрілих повідомлень, архівів і посилань негайно звертайтеся до CERT-UA.
  • Увімкніть багатофакторну автентифікацію: налаштуйте багатофакторну автентифікацію для своїх облікових записів Signal та інших онлайн-сервісів.

Що кажуть фахівці DigVel

Оскільки однією зі складових атаки є надсилання зловмисного файлу з легітимного скомпрометованого облікового запису, використання багатофакторної автентифікації має бути обов’язковим заходом.

Користувачам Signal корисно буде додатково налаштувати блокування повторної реєстрації. Для цього перейдіть у «Налаштування», виберіть розділ «Акаунт» і активуйте повзунок «Блокування доступу». Ця функція не допускатиме повторної реєстрації вашого нині використовуваного номера телефону в Signal без введення PIN-коду. Не зайвим буде й іноді переглядати дані в розділі «Зв’язані пристрої» на наявність підозрілої активності. Щобільше, наразі Signal приховує номер телефону за замовчуванням, але можна окремо налаштувати його конфіденційність і заборонити пошук за ним.

Необхідно звертати увагу на розширення файлів. Якщо вам надіслали документ із розширенням .exe або .bat, то це, найімовірніше, ніякий не документ. Звичними для документів є розширення .pdf, .doc, .txt. тощо. Для детальнішого ознайомлення з нюансами, пов’язаними з розширеннями, пропонуємо відповідні статті (англійською мовою) від Perallis, Microsoft і Clearnetwork.

Слід також зазначити, що зазвичай потреби надсилати документи в архіві немає. Факт отримання файлу в запароленому архіві вже має насторожувати, адже подібна тактика часто використовується зловмисниками для маскування шкідливих фалів.

Ознайомтеся з техніками соціальної інженерії та звертайте увагу на контекст отримання файлу. Будьте обережні з файлами, які не очікували отримати, які не відповідають контексту попередньої розмови з відправником або якщо їх надсилає людина, від якої ви зазвичай подібного не отримуєте. Перевірити вкладення можна, наприклад, завантаживши їх на VirusTotal. Не впевнившись у безпечності файлу, у жодному разі не пересилайте його іншим користувачам.

І очевидна порада, якою часто нехтують, — не вимикайте антивірусне програмне забезпечення на комп’ютері й не ігноруйте його сповіщення. Ми вже писали про проблему нехтування функціями антивірусу в статті, присвяченій аналізу компрометації одного з наших клієнтів.

Цікавлять послуги з кіберзахисту? Зверніться до DigVel! Наша команда сертифікованих фахівців із кібербезпеки ретельно проаналізує ваше IT-середовище на наявність вразливостей і допоможе виправити їх, перш ніж ними скористаються зловмисники.