В преддверии Дня налогов в США 15 апреля компания Microsoft обнаружила несколько фишинговых кампаний, которые используют налоговую тематику для социальной инженерии с целью кражи учетных данных и внедрения вредоносного ПО.
Описание
Злоумышленники используют перенаправления, такие как укорачиватели URL-адресов и QR-коды, а также злоупотребляют легитимные сервисы, чтобы скрыть свою деятельность и избежать обнаружения. Кампании включают использование платформы RaccoonO365 phishing-as-a-service (PhaaS) для доставки фишинговых страниц, троянов удаленного доступа (RAT) и других вредоносных программ.
Каждый год злоумышленники используют налоговый сезон, чтобы манипулировать людьми и получить доступ к их личной и финансовой информации. Они создают обманчивые кампании, которые вводят налогоплательщиков в заблуждение, заставляя их раскрывать конфиденциальные данные, совершать платежи на поддельные сервисы или устанавливать вредоносное ПО. Чтобы предотвратить подобные атаки, пользователи и организации должны использовать передовые решения для борьбы с фишингом и проводить обучение и повышение осведомленности среди пользователей.
Microsoft выявила несколько кампаний, использующих налоговую тематику для социальной инженерии. Компания также предоставляет рекомендации для защиты пользователей и организаций от фишинговых атак, связанных с налоговым сезоном. Microsoft Defender для Office 365 блокирует вредоносные электронные письма и вложения, используемые в этих атаках. Microsoft Defender для Endpoint также обнаруживает и блокирует различные угрозы, связанные с налоговыми атаками. Налоговая служба США (IRS) не вступает в контакт с налогоплательщиками по электронной почте, текстовым сообщениям или через социальные сети, чтобы получить личную или финансовую информацию.
Microsoft также обнаружила фишинговую кампанию, в которой использовалось несколько тысяч писем, направленных на Соединенные Штаты. В этой кампании использовались фишинговые письма на налоговую тематику, которые содержали инструмент красной переписки BRc4 и вредоносное ПО Latrodectus. Брокер доступа Storm-0249, известный некоторыми другими вредоносными программами, такими как BazaLoader, IcedID, Bumblebee и Emotet, также был связан с этой кампанией.
В фишинговых письмах содержались вложения PDF с вредоносными ссылками, а также QR-коды, которые ссылались на поддельные страницы, которые маскировались под DocuSign. Если пользователь нажимал на кнопку "Загрузить" на странице, установлялось вредоносное ПО BRc4, а затем Latrodectus - вредоносный инструмент, используемый для дальнейших атак.
Indicators of Compromise
