С ноября 2025 года наблюдается масштабная кампания социальной инженерии, в рамках которой злоумышленники рассылают фишинговые письма с поддельными приглашениями на праздничные мероприятия. Эксперты по кибербезопасности зафиксировали использование тематических заголовков, таких как "Приглашение на вечеринку" и "Декабрьский праздничный ужин", что особенно актуально в преддверии новогоднего сезона.
Описание
Атакующие используют разнообразные методы маскировки. Помимо праздничных приглашений, они активно рассылают письма, имитирующие налоговые уведомления, счета на оплату, напоминания о просроченных платежах, приглашения на Zoom-конференции и документы, требующие электронной подписи. Каждое такое сообщение содержит вредоносные URL-адреса, ведущие к установочным файлам исполняемых программ или MSI-инсталляторов. Примечательно, что некоторые из этих файлов имеют цифровую подпись, что повышает их доверительность в глазах потенциальных жертв.
Изначально кампания, отслеживаемая с апреля 2025 года, была сосредоточена на распространении программного обеспечения ScreenConnect. Этот инструмент удаленного управления и мониторинга (Remote Management and Monitoring, RMM) затем использовался для загрузки дополнительного вредоносного инструментария. Среди регулярно используемых утилит эксперты выделяют HideMouse.exe, предназначенную для скрытия перемещений курсора мыши, WebBrowserPassView - инструмент восстановления паролей из веб-браузеров, и Defender Control - утилиту для отключения защитных механизмов Windows Defender.
Однако с лета 2025 года тактика злоумышленников существенно изменилась. Начиная с июня, к ScreenConnect добавилась установка SimpleHelp. В конце августа в арсенале атакующих появились PDQ и Atera. С октября основное внимание сместилось в сторону LogMeIn Resolve и Naverisk, которые устанавливаются параллельно с ScreenConnect.
Наиболее интересной особенностью новой тактики стало разнесение во времени установки различных RMM-инструментов. Например, в одной из пораженных организаций первоначальное заражение через ScreenConnect произошло в августе 2025 года. Через месяц, 20 сентября, была установлена обновленная версия ConnectWise, а уже на следующий день - LogMeIn Resolve. В другом зафиксированном случае 31 октября 2025 года сначала был установлен LogMeIn Resolve, который немедленно использовался для инсталляции ScreenConnect, а 6 ноября на ту же машину добавился Naverisk.
Мотивы использования множества RMM-инструментов остаются не до конца ясными. Специалисты рассматривают несколько возможных объяснений. Во-первых, постоянная смена инструментария может затруднять обнаружение активности злоумышленников системами безопасности. Во-вторых, установка дополнительных инструментов удаленного доступа создает избыточность, обеспечивая сохранение доступа даже при обнаружении и удалении одного из компонентов. Также существует версия о использовании пробных версий программного обеспечения, требующих регулярной замены по истечении срока действия лицензий.
Конечные цели данной кампании пока остаются неопределенными. Однако характер используемых инструментов и приоритет на сохранение доступа и кражу учетных данных позволяют предположить, что злоумышленники могут продавать доступ к скомпрометированным системам другим криминальным группам. Последующие атаки могут включать развертывание программ-шифровальщиков (ransomware), организацию мошеннических схем или промышленный шпионаж.
Эксперты рекомендуют организациям усилить меры безопасности, уделив особое внимание обучению сотрудников распознаванию фишинговых писем, внедрению строгих правил использования RMM-инструментов и регулярному мониторингу необычной сетевой активности. Важно отметить, что легитимное программное обеспечение для удаленного управления все чаще используется злоумышленниками в первоначальном проникновении и последующем перемещении по корпоративным сетям.
Индикаторы компрометации
