Вечером 23 сентября итальянские компании и государственные учреждения получили письма о неоплаченных счетах. Отправители не вызывали подозрений: сообщения пришли с адресов сертифицированной электронной почты, которая в Италии подтверждает личность отправителя на юридическом уровне. Внутри - требование срочно урегулировать задолженность и вложенный файл с названием бухгалтерского документа. Получателю предлагали открыть архив и проверить счёт. Те, кто последовал инструкции, запустили на своём компьютере цепочку заражения.
Описание
Система сертифицированной почты, известная в Италии как PEC, служит для юридически значимой переписки между бизнесом и госорганами. Каждое письмо получает подтверждение отправки и доставки, а адрес привязан к проверенному владельцу. На этом доверии и построен обман. Сертификат подтверждает факт передачи сообщения, но не гарантирует, что ящик отправителя не захвачен, а вложение безопасно. Простого наличия PEC недостаточно, чтобы считать письмо надёжным. Злоумышленники пользуются привычкой доверять такому каналу без дополнительной проверки.
Кампанию выявили и заблокировали в тот же день, сообщает CERT-AGID. Судя по служебным метаданным вложений, готовили её заранее: файлы собрали в понедельник, 21 сентября, а рассылку начали вечером 23 сентября, около 21:50. Тематику писем авторы меняли часто, чтобы обойти фильтры. Встречались уведомления о неоплаченном счёте, напоминания о просроченном платеже, требования быстро отреагировать и урегулировать задолженность. Все они написаны деловым языком, с суммами и ссылками на бухгалтерские документы, поэтому выглядят правдоподобно.
Атака развивается в несколько шагов. Сначала жертва открывает архив, ожидая увидеть счёт. Вместо документа внутри лежит файл веб-страницы. При открытии он обращается к инфраструктуре, подготовленной злоумышленниками, и загружает оттуда скрипт. Дальше в дело вступают штатные компоненты Windows, в том числе средство автоматизации PowerShell (встроенная среда для выполнения служебных сценариев). Они запускают следующие этапы, и на машине начинает работать MintsLoader. Этот загрузчик скачивает и запускает основное вредоносное ПО.
Финальная полезная нагрузка - программы удалённого доступа и программы для кражи данных. Первые дают злоумышленнику полный контроль над системой. Вторые собирают пароли, историю браузера, документы с рабочего стола и данные банковских приложений. Для компании это оборачивается утечкой коммерческой тайны, потерей доступа к бухгалтерии и возможными мошенническими операциями. Заражение редко заметно сразу, поскольку загрузчик работает тихо и не мешает повседневной работе сотрудника.
Защита начинается с отказа открывать вложения из неожиданных писем, даже если они пришли по защищённому каналу. Счёт разумнее запросить у поставщика по другому каналу связи, например по телефону. Компаниям полезно проверять, кто имеет доступ к корпоративным ящикам сертифицированной почты, и оперативно отзывать права у уволенных сотрудников. Помогают двухфакторная аутентификация, регулярные обновления систем и ограничение запуска вложений из почтовых программ. Отдельного внимания требуют ящики, с которых уходит юридически значимая переписка: их компрометация бьёт сразу по репутации и по клиентам.
Расчёт сделан на доверие к официальному каналу, а не на уязвимость в программном обеспечении. Пока сертифицированная почта остаётся обязательной для общения с итальянскими госорганами, злоумышленники будут искать слабые ящики и рассылать с них письма от имени реальных компаний. Быстрая реакция CERT-AGID снизила масштаб ущерба, однако часть получателей могла открыть архив до блокировки. Проверка подозрительных вложений и внимательность бухгалтерии остаются основными мерами сдерживания.
Индикаторы компрометации
