Критическая угроза для бизнеса: Positive Technologies выявила масштабную атаку стилера BoryptGrab

Ситуация в сфере кибербезопасности становится всё более тревожной. Специалисты Positive Technologies зафиксировали серию опасных рассылок, от которых пострадало более 1250 российских компаний. Злоумышленники распространяли вредоносное ПО под названием BoryptGrab, целенаправленно атакуя организации финансового и энергетического секторов, а также государственные структуры.

Механизм работы злоумышленника VecnaHopper

Атакующий, получивший в сообществе имя VecnaHopper, действовал крайне изощрённо. Вместо создания новых аккаунтов он использовал скомпрометированные почтовые ящики, что значительно снижало уровень подозрительности писем у получателей.

• Цепная реакция: Получив доступ к одному ящику, злоумышленник продолжал рассылку уже от имени новых жертв.
• Инструментарий: Для анализа вложений, адресов почты и инфраструктуры атакующего эксперты применили платформу PT Fusion.
• Масштаб кампании: Разрозненные эпизоды удалось объединить в единую кампанию, реконструировав как минимум 5 массовых волн атаки.

Один из самых тревожных фактов: эксперты зафиксировали случай, когда заражённое письмо попало на корпоративный адрес, а всего через 8 дней этот же ящик был использован для новой волны рассылок. Это подтверждает высокую скорость адаптации атакующего.

Кто стал мишенью?

Анализ адресатов показал следующую картину распределения жертв:

• 44% - индивидуальные предприниматели;
• 14% - банки и финансовые структуры;
• по 11% - компании ТЭК и государственные органы.

Контент писем мастерски маскировался под рутинную деловую переписку: запросы поставщикам, уведомления, приказы. В некоторых случаях в копии одного сообщения попадало свыше ста адресатов. По мнению специалистов, атакующий извлекал контакты непосредственно из переписки жертв, чтобы использовать их в последующих атаках. Письмо от «знакомой» компании-контрагента вызывает доверие и редко подвергается тщательной проверке.

Что крадёт BoryptGrab?

Вредоносная программа представляет собой опасный стилер, способный похищать:

• Логины, пароли и данные сессий из браузеров;
• Информацию из мессенджеров (Telegram, Discord) и игровых платформ (Steam);
• Данные криптовалютных кошельков;
• Файлы с рабочего стола и из папки «Документы».

Кроме того, программа делает скриншоты экрана и отправляет все собранные сведения злоумышленнику. Всего эксперты выявили более 700 образцов, связанных с инфраструктурой VecnaHopper.

Рекомендации экспертов

«Даже знакомый адрес отправителя не гарантирует, что письмо безопасно: злоумышленник может использовать взломанную почту контрагента. При заражении необходимо удалить вредоносную программу, сменить скомпрометированные пароли с доверенного устройства и завершить сеансы в почте, мессенджерах и других сервисах, к которым мог получить доступ атакующий. Также важно проверить, не отправлялись ли с пострадавшего ящика вредоносные письма, и предупредить их получателей», - пояснил руководитель направления Threat Intelligence и сервиса PT Fusion в Positive Technologies Денис Кувшинов.

Фото: Pickwizard.