В августе 2026 года обнаружена доменная инфраструктура, которую аналитики связывают с активностью группировки Com, известной вымогательскими атаками. Особенность находки в том, что для проведения кампании злоумышленники впервые использовали не вновь созданный, а перерегистрированный домен. Это делает их действия менее заметными: старые адреса не так часто попадают в спам-базы и фильтры безопасности, а потому выше шанс, что потенциальная жертва откроет письмо или ответит на звонок.
Описание
Домен был первоначально создан в марте 2023 года через одного из регистраторов, однако в августе 2026 года его владелец переоформил через другую компанию-регистратора. Как отмечают аналитики Unit 42, это первый зафиксированный случай, когда субъекты угрозы, связанные с Com, прибегли к перерегистрации, а не к регистрации свежего адреса. При этом настройки домена указывают на использование того же сервиса для его обслуживания, что и в прошлых эпизодах, что позволяет с высокой уверенностью связать его с данной группировкой.
Переоформление домена на другого регистратора - распространённый приём для сокрытия следов. Это позволяет разорвать связь с исходными учётными записями и затрудняет правоохранительным органам установление личности владельца. Кроме того, выбор сервиса, который не требует строгой верификации клиентов, помогает злоумышленникам сохранять анонимность на всём протяжении операции.
Анализ показал, что под угрозой находятся более чем 20 организаций из самых разных отраслей. Среди них финансовые услуги, здравоохранение, высокие технологии, гостиничный бизнес, страхование, производство, некоммерческий сектор, фармацевтика и науки о жизни, недвижимость, транспорт и логистика, а также энергетика и коммунальное хозяйство. Широкий охват говорит о том, что атака не точечная, а рассчитана на массовое поражение. Злоумышленники, судя по всему, нацелились на сотрудников компаний, которые имеют доступ к критическим системам и финансовым данным.
Ранее подобная активность уже попадала в поле зрения других исследователей. В частности, Google и Okta публиковали отчёты о вишинг-операциях, направленных на финансовый сектор и корпоративные облачные среды. Сопоставление данных показывает значительное пересечение с этими отчётами, поэтому можно предположить, что за новой кампанией стоят те же действующие лица либо их партнёры. Группировка Com известна тем, что использует несколько брендов для вымогательства, что усложняет отслеживание и атрибуцию атак.
Техника вишинга, которую применяют злоумышленники, заключается в голосовом фишинге. Атакующий звонит сотруднику, представляясь специалистом службы поддержки, IT-отдела или даже официальным представителем вендора программного обеспечения. Затем он убеждает жертву выполнить ряд действий - например, пройти процедуру регистрации ключа доступа для входа в корпоративную сеть. Вместо повышения безопасности жертва передаёт мошенникам временные коды подтверждения или данные для входа, после чего злоумышленники получают доступ к внутренним системам компании.
Мошенники часто используют срочные формулировки, создавая у жертвы ощущение, что проблема требует немедленного решения. Например, они могут сообщить о подозрительной активности в учётной записи и предложить помощь в её устранении. В процессе разговора они могут попросить перейти по ссылке или установить приложение, которое на самом деле окажется вредоносным. Жертва, находясь под психологическим давлением, выполняет требования, не пытаясь перепроверить информацию.
Успешная атака может привести к краже учётных данных, финансовых средств, интеллектуальной собственности и персональных данных клиентов. В некоторых случаях злоумышленники используют полученный доступ для развёртывания программ-вымогателей и последующего требования выкупа. Поскольку атаки нацелены на организации из финансового и энергетического секторов, потенциальный ущерб оценивается как значительный, включая возможные перебои в обслуживании клиентов и регуляторные штрафы.
Особую опасность представляет то, что перерегистрированный домен имеет более длительную историю. Такие адреса вызывают меньше подозрений у систем автоматической фильтрации и у самих пользователей. Более того, они реже попадают в чёрные списки, поскольку репутация домена не была испорчена предыдущими вредоносными кампаниями. Это позволяет использовать его дольше и с большей эффективностью. Для защиты сотрудникам компаний следует быть внимательными к входящим звонкам с незнакомых номеров, особенно если речь идёт о запросах на изменение учётных данных. Также рекомендуется проверять любые просьбы через официальные каналы связи.
Эксперты предупреждают, что вишинг остаётся одной из самых недооценённых угроз, несмотря на свою эффективность. В отличие от фишинга, где ошибку может выдать подозрительная ссылка или адрес отправителя, при голосовом фишинге человек общается напрямую с мошенником, который использует методы социальной инженерии для создания доверия. Именно поэтому важно регулярно проводить тренинги по информационной безопасности и напоминать сотрудникам о том, что ни одна уважающая себя компания не будет запрашивать пароли или коды подтверждения по телефону. Внедрение многофакторной аутентификации и контроль за попытками входа также снижают риск успешной атаки.
Перерегистрация домена стала новым тактическим приёмом группировки Com, направленным на обход средств защиты. Компаниям из перечисленных секторов следует принять дополнительные меры предосторожности, усилить мониторинг сетевой активности и обратить внимание на любые необычные запросы, поступающие по телефонным каналам. Своевременное обнаружение подобных схем поможет предотвратить финансовые потери и утечку данных.
Индикаторы компрометации
