Сотрудники различных государственных и негосударственных организаций США стали мишенями новых атак, направленных на кражу данных и получение доступа к их устройствам. Согласно исследованию, которое опубликовало подразделением Microsoft Threat Intelligence, все данные указывают на причастность кибергруппы Midnight Blizzard, которую связывают отношения с российскими спецслужбами. Сообщается, что атаки начались 22 октября, и помимо компании Microsoft, подтверждения о них предоставили также компании Amazon и украинская государственная команда реагирования на кибератаки CERT-UA.
Особенность этих атак в том, что они применяют сложные методы социальной инженерии, использующие доверие к крупным технологическим платформам. Фишинговые письма от Midnight Blizzard содержат ссылки или вложения, якобы связанные с Microsoft, Amazon Web Services (AWS) и технологиями Zero Trust. Качественно оформленные письма побуждают жертв открывать файлы, содержащие программы для удалённого подключения через протокол удалённого рабочего стола (RDP). Таким образом, злоумышленники получают возможность управлять ресурсами целевого устройства через удалённый сервер.
Подключившись к устройству, Midnight Blizzard может собирать информацию о его внутренних ресурсах: структуре жёстких дисков, содержимом буфера обмена, подключённых периферийных устройствах и средствах аутентификации, таких как смарт-карты. Эти данные обновляются при каждом подключении устройства к RDP-серверу, позволяя хакерам проводить мониторинг и управлять локальными устройствами.
Используя удалённый доступ, Midnight Blizzard может не только установить программы-шпионы на целевом устройстве, но и распространить их на другие устройства в той же сети. Таким образом, злоумышленники получают возможность сохранять постоянный доступ и в дальнейшем устанавливать новые вредоносные программы, даже когда целевое устройство не подключено к RDP-серверу. Также высок риск кражи данных для входа в систему во время RDP-сеансов, что делает эти атаки крайне опасными и сложными для обнаружения.
Проведенное расследование доказывает, что современные методы социальной инженерии и хакерских атак на доверенные технологии могут представлять значительную угрозу для государственных структур.