Группировка Skeleton Spider, также известная как FIN6, продолжает совершенствовать свои методы атаки, используя социальную инженерию и облачные сервисы для распространения вредоносного ПО. Изначально известная как оператор POS-взломов и краж платежных данных, FIN6 теперь переключилась на более масштабные атаки, включая ransomware-кампании.
Описание
Одним из ключевых инструментов группы стал backdoor more_eggs, который доставляется через фишинговые письма, маскирующиеся под резюме соискателей. Атака начинается не с электронной почты, а с платформ для поиска работы, таких как LinkedIn и Indeed. FIN6 создает фальшивые профили, вступает в диалог с рекрутерами, а затем отправляет фишинговые сообщения с якобы прикрепленным резюме.
Чтобы обойти автоматические системы защиты, злоумышленники не используют кликабельные ссылки. Вместо этого жертвам предлагается вручную ввести адрес в браузере, например, «elizabethabarton. COM» (с пробелом перед доменом). Такие домены регистрируются через GoDaddy с включенной функцией анонимности, что затрудняет их блокировку.
Для хостинга вредоносных страниц FIN6 активно использует облачные сервисы, в частности AWS. Это позволяет злоумышленникам маскировать инфраструктуру, снижать затраты и обходить корпоративные фильтры. На поддельных сайтах размещаются резюме, но доступ к вредоносному содержимому открывается только при соблюдении строгих условий: посетитель должен заходить с «чистого» IP (не из облачных сервисов или VPN), использовать Windows и пройти CAPTCHA.
Если условия выполнены, жертве предлагается скачать ZIP-архив с вредоносным LNK-файлом, который запускает JavaScript-бэкдор more_eggs. Этот инструмент позволяет злоумышленникам красть учетные данные, получать доступ к системе и развертывать дополнительные угрозы, включая ransomware.
Исследователи отмечают, что FIN6 продолжает адаптироваться, используя доверие к облачным платформам и социальную инженерию для повышения эффективности атак. Компаниям рекомендуется усилить проверку входящих сообщений, обучать сотрудников распознаванию фишинга и внедрять многофакторную аутентификацию для снижения рисков.
Индикаторы компрометации
