Главная страница » Индикаторы компрометации
0
11 месяцев
Индикаторы компрометации

Многоцелевая фишинговая кампания по сбору учетных данных через Telegram Bot API

Многоцелевая фишинговая кампания по сбору учетных данных через Telegram Bot API

Исследовательская группа Cyble Research and Intelligence Labs (CRIL) обнаружила масштабную фишинговую кампанию, нацеленную на множество брендов для кражи учетных данных. Злоумышленники рассылают вредоносные HTML-вложения через электронную почту, успешно обходя традиционные средства защиты благодаря отсутствию подозрительных URL-адресов и внешних серверов хостинга. Встроенные HTML-файлы выполняют JavaScript-код, который перехватывает учетные данные пользователей и отправляет их напрямую подконтрольным злоумышленникам ботам в Telegram.

Описание

Технические особенности атаки демонстрируют высокий уровень подготовки. Во-первых, злоумышленники используют HTML-файлы в качестве вложений с именами, соответствующими стандарту RFC, например RFQ_4460-INQUIRY.HTML. Эти файлы содержат внедренный JavaScript, который имитирует интерфейс входа Adobe и передает собранные данные через Bot API Telegram с использованием токена бота и идентификатора чата. Социальная инженерия строится вокруг стандартных бизнес-сценариев, таких как незапрошенные запросы на котировки или счета, где получателя просят открыть вложение и «войти для просмотра».

Обзор кампании

Кампания отличается многоуровневой технической реализацией. Например, один из образцов использует шифрование AES через библиотеку CryptoJS для обфускации данных. Он собирает адрес электронной почты, пароль, IP-адрес и пользовательский агент, а затем применяет механизм двойного ввода пароля для повышения достоверности. Другой образец использует современный Fetch API и включает функции анти-форензика, блокирующие сочетания клавиш, такие как F12, Ctrl+U и правый клик мыши. Это затрудняет анализ кода и предотвращает обнаружение угроз.

Инфраструктура атаки построена на децентрализованной сети ботов Telegram, управляемых различными угрозными акторами. Анализ выявил несколько активных токенов, включая garclogtools_bot и v8one_bot, которые используются в тематических образцах, имитирующих FedEx, Adobe и WeTransfer. При этом операторы используют учетные записи с именами вроде Rharfel и joedollar23telegram, что указывает на распределенный характер операции.

Географическое таргетирование сосредоточено на организациях Центральной и Восточной Европы, с особым вниманием к Чехии, Словакии, Венгрии и Германии. Атаки нацелены на широкий спектр отраслей, включая сельское хозяйство, автомобилестроение, энергетику и государственный сектор. Злоумышленники имитируют как глобальные бренды, такие как Microsoft и DHL, так и региональные сервисы, включая Telekom Deutschland и Roundcube, что повышает успешность атак в разных культурных контекстах.

Эволюция кампании демонстрирует постоянное совершенствование методов. Например, злоумышленники перешли от простого JavaScript к AES-шифрованию, добавили блокировку событий клавиатуры и расширили языковую поддержку, включив немецкий, корейский и испанский языки. Кроме того, они используют условное выполнение кода, чтобы избежать обнаружения в автоматизированных песочницах, и злоупотребляют легитимными сервисами, такими как CloudFront, для маскировки трафика.

В заключение, данная кампания представляет серьезную угрозу благодаря использованию HTML-вложений, обходу традиционных мер безопасности и эффективному сбору учетных данных через Telegram. Организациям рекомендуется ужесточить политики обработки вложений, блокировать доступ к Bot API Telegram и внедрять средства анализа содержимого HTML-файлов. Пользователям следует избегать открытия непроверенных вложений и всегда проверять запросы на повторный ввод учетных данных. Совместные усилия по повышению осведомленности и технической защите помогут снизить риски подобных атак в будущем.

Индикаторы компрометации

Yara

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
28.07.2026
Индикаторы компрометации

Вредонос LoaderClient для Minecraft использует Ethereum-контракты для управления и ворует токены Microsoft OAuth

Вредонос LoaderClient для Minecraft использует Ethereum-контракты для управления и ворует токены Microsoft OAuth
Кампания WeedHack, действующая с января 2026 года, привлекла внимание специалистов по информационной безопасности из-за масштаба и технической новизны. За полгода зафиксировано более 116 тысяч уникальных
0
03.02.2026
Индикаторы компрометации

Эксплуатация уязвимости WinRAR позволяет злоумышленникам скрытно устанавливать шпионское ПО через архивы

Эксплуатация уязвимости WinRAR позволяет злоумышленникам скрытно устанавливать шпионское ПО через архивы
Аналитики кибербезопасности из CYFIRMA обнаружили новую многоступенчатую кампанию по распространению вредоносного программного обеспечения. Злоумышленники используют недавно выявленную уязвимость в популярном
0
18.02.2026
Индикаторы компрометации

Китайские хакеры использовали уязвимость в ПО Dell для проникновения в виртуальную инфраструктуру VMware

APT
Специалисты подразделения Google Threat Intelligence Group и компании Mandiant  раскрыли детали масштабной кампании шпионажа, в рамках которой с середины 2024 года эксплуатировалась критическая уязвимость
0
11.09.2026
Индикаторы компрометации

Взломанные WordPress-сайты ведут к многоступенчатой атаке с кражей паролей и файлов

Взломанные WordPress-сайты ведут к многоступенчатой атаке с кражей паролей и файлов
В начале 2026 года зафиксирована крупная вредоносная кампания. Она использует скомпрометированные сайты на платформе WordPress. Жертва заходит на обычный сайт, но в его код внедрен скрипт.