Эксперты по кибербезопасности выявили масштабную фишинговую операцию, нацеленную на государственные и финансовые организации Восточной и Юго-Восточной Азии. Кампания характеризуется использованием многоязычных веб-шаблонов, регионально-ориентированных приманок и адаптивных механизмов доставки вредоносных payload (полезной нагрузки), что демонстрирует переход к масштабируемой автоматизированной инфраструктуре.
Описание
Исследование, проведенное с использованием платформы Hunt.io и специализированных наборов данных AttackCapture и HuntSQL, позволило выявить взаимосвязи между многоязычными фишинговыми страницами в разных регионах. С помощью HuntSQL-based pivoting (метода поиска взаимосвязей на основе HuntSQL) были идентифицированы несколько взаимосвязанных кластеров, показывающих, как злоумышленники повторно используют одни и те же веб-компоненты в разных языках, включая китайский, японский и английский.
Основные выводы исследования включают выявление 28 веб-страниц, распределенных по трем кластерам с общим дизайном и функционалом. Общая бэкенд-логика с использованием скриптов download.php и visitor_log.php указывает на автоматизированное развертывание. Сегментация по языкам демонстрирует целевую адаптацию для аудиторий из Китая, Японии и стран Юго-Восточной Азии. Наблюдается сдвиг от локализованных к многонациональным атакам, с расширением географии целевых стран.
Злоумышленники последовательно используют архивы ZIP/RAR в качестве приманки, маскируя их под бюрократические, финансовые и налоговые документы. Имена файлов, такие как "稅務電子發票名單.rar" (список налоговых накладных) или "NoticeofEmployeePositionAdjustment.zip" (уведомление о корректировке должности сотрудника), предназначены для обмана пользователей в корпоративной и государственной сферах. Единообразная структура страниц, включая динамическое получение информации о файлах через download.php и логирование посетителей через visitor_log.php, указывает на использование единого набора инструментов или автоматизированного конструктора.
Инфраструктура кампании демонстрирует признаки повторного использования, включая хостинг на одном провайдере, Kaopu Cloud HK Limited, и применение доменов в зонах .vip, .sbs, .cc и других. Анализ связанных IP-адресов выявил их распределение по различным регионам, включая Гонконг, Сингапур, Японию, Таиланд и Камбоджу, что подчеркивает географическую масштабность операции.
Данная кампания вписывается в контекст ранее документированных фишинговых атак в регионе. Так, в начале 2025 года FortiGuard Labs сообщали о многостадийной операции, развившейся от распространения Winos 4.0 на Тайване до дистрибуции семейства вредоносных программ HoldingHands по всей Восточной и Юго-Восточной Азии. Изначально фишинговые письма, маскирующиеся под Министерство финансов Тайваня, доставляли вредоносные PDF-файлы со встроенными ссылками. Со временем злоумышленники перешли от облачного хостинга к использованию кастомных доменов с региональными маркерами.
Для противодейства подобным угрозам эксперты рекомендуют проактивно блокировать выявленные домены и отслеживать появление новых с похожими шаблонами именования. Организациям следует настраивать почтовые шлюзы для детектирования архивных вложений с тематическими именами, связанными с кадрами, налогами или финансами. Важным элементом защиты является ограничение возможности выполнения скриптов или файлов из архивов, полученных по электронной почте. Повышение осведомленности пользователей о фишинге и методах социальной инженерии также играет ключевую роль.
Выявление этой многоязычной кампании подчеркивает растущую изощренность киберпреступников, использующих автоматизацию и адаптацию под локальные особенности для повышения эффективности атак. Понимание структуры и механизмов таких операций позволяет организациям укреплять свою оборону и противодействовать угрозам на ранних стадиях.
Индикаторы компрометации
Связанные индикаторы
