Microsoft: Руски хакери са извършили големи фишинг атаки срещу държавни служители на САЩ

Вече от доста години хакерските атаки се използват не само на индивидуално/потребителско и корпоративно ниво, а на междудържавно. Редица страни имат собствени програми в тази насока или просто спонсорират определени групи, които да изпълняват атаки.

Според ново проучване скандално известният, свързан с Русия Midnight Blizzard е атакувал американски служители с фишинг атаки в редица правителствени и неправителствени сектори. Според резултатите, публикувани от Microsoft Threat Intelligence, Midnight Blizzard е използвал тези атаки за събиране на информация, като дейностите му са били забелязани за първи път на 22 октомври.

Тези кампании са били наблюдавани и потвърдени и от Amazon и Правителствения екип за реагиране при компютърни инциденти на Украйна. Последните „spear“ фишинг атаки използват значителен аспект на социалното инженерство, като разчитат на кукички с Microsoft, Amazon Web Services (AWS) и Zero Trust, за да подмамят служители да отворят заредени с Remote Desktop Protocol (RPD) файлове, прикачени към имейли. Тези файлове на практика позволяват на Midnight Blizzard да контролира функциите и ресурсите на целевата система чрез отдалечен сървър.

Midnight Blizzard също така ще може да извършва значително събиране на информация за засегнатите устройства чрез картографиране на ресурсите на локалното устройство, включително информация за всички логически твърди дискове, съдържанието на клипборда, принтерите, свързаните периферни устройства, звукови и оторизационни функциите в Windows, включително смарт картите.

Това картографиране се извършва всеки път, когато целевото устройство се свързва с RDP сървъра. Чрез тази връзка Midnight Blizzard може да инсталира троянски коне за отдалечен достъп (RAT), за да установи постоянен достъп, когато устройството не е свързано с RDP сървъра.

В резултат на това Midnight Blizzard ще може да инсталира зловреден софтуер както на целевото устройство, така и на други устройства в същата мрежа, като наред с това има възможност за кражба на удостоверения по време на RDP връзката.

До момента кампанията е насочена към служители в правителствени агенции, висши учебни заведения, отбранителни и неправителствени организации в Обединеното кралство, Европа, Австралия и Япония.

Както е видно целите са в различни региони и дейността е доста мащабна. След извличане на данните те могат да бъдат използвани по разнообразни зловредни начини. Затова се препоръчва да проявяват особено внимание.