Хакерская группировка GOFFEE начала новую кампанию кибершпионажа, направленную преимущественно против организаций технологического сектора России. Об этом «Газете.Ru» сообщили в «Лаборатории Касперского».
В качестве приманки злоумышленники используют фишинговые письма с вложениями, замаскированными под поврежденные документы. По данным Kaspersky Threat Intelligence Portal, группировка существенно обновила методы работы и инструментарий, а также расширила географию атак, включив в число целей организации из Беларуси.
По данным внутреннего исследовательского центра «Лаборатории Касперского», ИТ-сектор остается одной из наиболее атакуемых отраслей наряду с государственными учреждениями и промышленностью. Он представляет особый интерес для злоумышленников, проводящих атаки на цепочки поставок программного обеспечения. В компании отмечают, что 50% организаций в России работают более чем с 50 поставщиками программного и аппаратного обеспечения, а 14% – более чем со 100.
Для заражения систем атакующие используют документы, в которых часть кириллических букв заменена другими символами, из-за чего файл выглядит поврежденным. Пользователю предлагается «включить содержимое» для корректного отображения документа, однако это запускает цепочку заражения. Файл загружает удаленный шаблон с макросом, который выполняет вредоносную нагрузку. Чтобы убедить жертву разрешить запуск макросов, злоумышленники используют различные приманки, в том числе документы, замаскированные под бухгалтерские выгрузки из системы 1С.
Эксперты также отметили изменения в тактике GOFFEE. Если ранее группировка преимущественно использовала собственное вредоносное программное обеспечение, то в новой кампании она активнее применяет ручное управление атаками, общедоступные утилиты и легитимные инструменты.
В компании считают, что GOFFEE продолжает развивать свой инструментарий, осваивать новые тактики и остается серьезной угрозой для организаций.
Ранее выяснилось, что Intel и Fortinet решили бороться с хакерами на уровне железа.
