Обнаружен домен, который связывают с группировкой Com. Это сообщество злоумышленников делает ставку на телефонные звонки и обман сотрудников, а не на сложные технические приёмы. Судя по структуре домена, цели уже определены: как минимум две организации из сферы здравоохранения и фармацевтики. Клиники, терапевтические центры, производители лекарств хранят чувствительные данные и одновременно работают в жёстких сроках. Атака начинается не с письма, а со звонка живого человека, который представляется сотрудником службы поддержки. Такой приём называют голосовым фишингом, и почтовые фильтры против него бесполезны, поскольку письма в схеме не участвуют вовсе.
Описание
Группировка Com действует несколько лет. Она объединяет англоязычных исполнителей, которых вербуют в мессенджерах и на закрытых форумах. Техническая часть у них простая: поддельные страницы входа, арендованные телефонные номера, заранее написанные сценарии разговора. Главный инструмент - умение втереться в доверие к конкретному человеку. Выбранная маскировка показательна. Ключи доступа (passkey) - беспарольный способ входа, когда вместо пароля устройство предъявляет криптографическую подпись. Компании переводят на них сотрудников, чтобы снизить риски, связанные с утечкой паролей. Злоумышленники, между тем, пользуются непониманием нового механизма: сотрудник плохо представляет, как выглядит законный выпуск ключа, и потому не замечает подмены.
По данным Unit 42, домен зарегистрирован недавно, а признаки его инфраструктуры совпадают с шаблонами, которые эти злоумышленники применяли раньше. Внутри основного адреса обнаружены поддомены, то есть вложенные адреса, чьи названия повторяют или обыгрывают имена двух конкретных организаций. Одна из них работает в медицине, другая - в фармацевтике. Подтверждённых атак пока нет, зато подготовительная работа заметна: адрес настроен, страницы готовы, сценарии звонков, скорее всего, отработаны. Инфраструктура, собранная под конкретные компании, обычно означает серию звонков конкретным сотрудникам, а не массовую рассылку по базе.
Сценарий для сотрудника выглядит буднично. Звонит человек, который знает имя, должность и название отдела. Он говорит о сбросе ключа доступа, о проверке учётной записи, о срочном подтверждении входа с нового устройства. Затем просит перейти по ссылке из сообщения либо продиктовать код, пришедший в приложении. Иногда звонящий предупреждает, что система вот-вот пришлёт уведомление, и просит его подтвердить. Одно подтверждение - и у злоумышленника появляется доступ. Вся цепочка держится на спешке: жертву торопят, ссылаются на регламент, пугают блокировкой рабочей почты.
Фармацевтика и здравоохранение удобны для таких схем по нескольким причинам. Врачи и медсёстры работают в плотном графике и отвечают на звонки между процедурами. Внутренние службы поддержки в крупных сетях клиник перегружены заявками. Плюс в этих секторах много подрядчиков: лаборатории, поставщики оборудования, внешние исследовательские центры. Каждый партнёр получает доступ к внутренним системам и становится поводом для звонка. Успех на одном сотруднике открывает путь к историям болезни, результатам исследований, данным о клинических испытаниях. Утечка такого объёма информации оборачивается штрафами, исками и остановкой рабочих процессов на дни.
Отдельный риск связан с цепочками поставок. Крупный производитель лекарств работает с десятками партнёров, у которых свои системы и свои сотрудники. Злоумышленнику достаточно одного человека на периферии. Дальше идёт боковое перемещение внутри сети, то есть переход от одной системы к другой под легитимными учётными данными, сбор информации и подготовка к требованию выкупа. Программы-вымогатели в медицинских организациях опасны не только потерей файлов. Остановка записи на приём, недоступность результатов анализов, перенос операций - всё это напрямую затрагивает пациентов. Подобные инциденты в прошлые годы уже приводили к отмене плановых процедур.
Тема беспарольного входа придаёт кампании дополнительный вес. Ключи доступа продвигают как более надёжную замену паролям, и сотрудники воспринимают любые сообщения о них как часть внутренней модернизации. Мошеннику достаточно сослаться на "миграцию на новые ключи" или "отзыв старого ключа", чтобы объяснить необычную просьбу. Пока компании внедряют новые механизмы, разрыв между официальными инструкциями и реальными действиями персонала остаётся широким. Злоумышленники пользуются именно этим промежутком, а не изъянами самой технологии.
Защита здесь строится на процедурах, а не на технических средствах. Сотрудник должен твёрдо знать: служба поддержки не запрашивает коды и не требует подтверждать вход под давлением. Любой звонок о сбросе ключа доступа завершается проверкой по независимому каналу - обратным звонком по корпоративному номеру или письмом руководителю. Права доступа стоит ограничить до минимально необходимых, а вход защитить двухфакторной аутентификацией, то есть подтверждением личности вторым способом помимо пароля. Полезно отслеживать регистрацию похожих доменов, чтобы заранее знать о готовящихся кампаниях. И держать под рукой простой план: кому звонить, кого отключать, где искать следы.
Индикаторы компрометации
