Шахраї використовують резюме для шкідливих завантажень

Нещодавній звіт scmagazine.com розповідає про тривожну кіберзагрозу, спрямовану на менеджерів із підбору персоналу та рекрутерів. Кампанія розгортається навколо поширення шкідливого програмного забезпечення more_eggs із бекдором угрупованням кіберзлочинців, відомим під назвою TA4557.

Зловмисники застосовують витончений підхід, надсилаючи нібито нешкідливі електронні листи від фальшивих шукачів роботи, щоб змусити жертву завантажити шкідливі вкладення у вигляді резюме. Ця тактика використовує соціальну інженерію та добре розвинену інфраструктуру, як зазначено в брифінгу з безпеки від Proofpoint.

Дослідники Proofpoint спостерігають за еволюцією тактик TA4557 із 2018 року. У своїй останній кампанії зловмисники намагаються обійти захищені поштові шлюзи — стандартні заходи безпеки, які використовують організації. Натомість шахраї заманюють рекрутерів на підконтрольні їм сайти.

Атаки, уперше виявлені в жовтні 2023 року, починаються з електронного листа із запитанням щодо відкритої вакансії. На відміну від традиційних шахрайських листів, ці повідомлення не містять жодних посилань чи вкладень, що забезпечує нібито безневинний перший контакт для завоювання довіри. Якщо жертва відповідає, зловмисники продовжують ланцюжок, запрошуючи менеджера з підбору персоналу або рекрутера завантажити резюме з «персонального сайту» фальшивого кандидата на посаду.

На відміну від звичайних шахрайських схем, спрямованих на шукачів роботи, учасники TA4557 намагаються не видавати себе за вже відомі компанії та не застосовувати тайпсквотинг. У нещодавньому випадку, зафіксованому на початку листопада, зловмисники взагалі не надсилали посилання, а просили жертв «перейти на доменне ім’я електронної адреси, щоб отримати доступ до портфоліо». Такий метод, коли жертвам доводиться вручну копіювати й вставляти доменне ім’я, підвищує ймовірність обходу захисних поштових шлюзів. Зловмисники використовують непримітні доменні імена, як-от «wlynch[.]com» і «annetterawlings[.]com», щоб електронні листи виглядали менш підозріло.

Підконтрольні зловмисникам сайти кандидатів впроваджують фільтри на основі IP-адреси жертви, щоб визначити наступний етап атаки. Жертви, які пройшли перевірку, переспрямовуються на сторінку, де можуть завантажити ZIP-файл після заповнення запиту CAPTCHA.

CAPTCHA, що зазвичай використовується, щоб переконатися, що контент отримує реальна людина, у цій кампанії відіграють певну роль, щоб запобігти автоматизованому виявленню загроз на кшталт пісочниці. Завантажений ZIP-файл містить замаскований LNK-файл, який видає себе за резюме кандидата. Під час запуску цей файл встановлює бекдор more_eggs.

Шкідливе програмне забезпечення more_eggs, яким користується TA4557, застосовує безфайловий підхід, щоб ухилитися від виявлення антивірусом. Воно перехоплює функції дійсного програмного забезпечення, щоб встановити бекдор і отримати інформацію про систему жертви. Після успішної інсталяції more_eggs діє як завантажувач додаткового корисного навантаження, що уможливлює низку подальших атак, збираючи інформацію про комп’ютер жертви.

Точно ідентифікувати TA4557 поки що складно, оскільки спостерігається перетинання її активності з іншими групами, що використовують more_eggs, зокрема FIN6, Cobalt Group і Evilnum. Ця кампанія демонструє використання унікального інструментарію та шкідливого програмного забезпечення TA4557, складні методи ухиляння, чіткі ланцюжки атак і контрольовану виконавцями інфраструктуру.