После продолжительного летнего затишья эксперты по кибербезопасности зафиксировали возобновление активности кампании MintsLoader. Первая после июня атака была обнаружена накануне, что свидетельствует о возвращении злоумышленников к работе после сезонной паузы.
Описание
По сравнению с предыдущими волнами, шаблон электронного письма претерпел лишь незначительные изменения, сохраняя при этом уже известную схему. Ключевое отличие заключается в способе доставки вредоносного содержимого: вместо привычной гиперссылки на слово "Счёт" письмо теперь содержит прикреплённый ZIP-архив. Внутри сжатого файла находится замаскированный JavaScript, который инициирует цепочку компрометации системы. Это изменение тактики указывает на адаптацию злоумышленников к мерам безопасности и их стремление обойти традиционные защиты.
Как и в предыдущих кампаниях, данная атака сохраняет характер распространения: сообщения рассылаются со скомпрометированных PEC-ящиков (сертифицированной электронной почты) на PEC-адреса получателей. Злоумышленники используют доверие к сертифицированному каналу связи для повышения credibility и эффективности атаки. Получатели с большей вероятностью открывают вложения, если они приходят с официальных и проверенных адресов, что делает такие атаки особенно опасными.
Конечная цель атаки - компрометация систем жертв, в частности компьютеров под управлением Windows (версии 10 и новее). Для запуска цепочки заражения используется доступность команды cURL в системе, которая применяется для загрузки и установки вредоносного программного обеспечения. Как правило, устанавливаемые зловреды принадлежат к категории инфостилеров (infostealer), предназначенных для кражи конфиденциальной информации с заражённых устройств.
Интересно отметить, что злоумышленники сохраняют прежнюю временную стратегию, описанную в предыдущем предупреждении CERT-AGID. Возобновление активности совпадает с периодом возвращения сотрудников к работе после летних отпусков, когда бдительность пользователей может быть снижена, а количество деловой переписки увеличивается. Такое совпадение не является случайным и свидетельствует о продуманном подходе к выбору времени для атак.
Эксперты рекомендуют организациям усилить бдительность в отношении писем, поступающих даже с доверенных PEC-адресов, особенно если они содержат вложения. Необходимо обеспечить актуальное антивирусное ПО, регулярно обновлять системы и проводить обучение сотрудников по вопросам кибербезопасности. Особое внимание следует уделить проверке вложенных архивов и скриптовых файлов, которые могут представлять потенциальную угрозу.
Обнаружение новой кампании MintsLoader подтверждает, что киберпреступники продолжают адаптировать свои методы, используя социальную инженерию и доверенные каналы связи для повышения эффективности атак. Сохранение временных закономерностей указывает на системный подход злоумышленников к планированию своих операций, что требует постоянного системного подхода к защите от таких угроз.
Индикаторы компрометации
