Недавние наблюдения выявили новую вредоносную кампанию, в которой злоумышленники используют легитимные инструменты удаленного мониторинга и управления (RMM) для распространения вредоносного ПО через обмен поддельными документами. Судя по всему, это развитие предыдущей тактики — раньше преступники распространяли мошеннические исправления для цифровых подписей, теперь же переход сделан к более изощрённой социальной инженерии.
Что обнаружено
Аналитики зафиксировали рассылку сообщений на английском языке, целью которых является побудить получателя загрузить и открыть вредоносный документ. Выбор RMM как вектора атаки не случаен: эти инструменты широко используются для удаленного доступа и управления системами, и пользователи часто им доверяют. Злоумышленники этим пользуются, чтобы создать впечатление легитимности отправленного контента и повысить вероятность взаимодействия жертвы с файлом.
«Выбор в пользу инструментов RMM указывает на изощрённый подход злоумышленников, поскольку пользователи обычно доверяют этим инструментам для удаленного доступа к файлам и управления системой.»
Механика атаки и предполагаемые цели
Конкретные детали поведения и функциональных возможностей полезной нагрузки не были широко раскрыты, однако характер распространения позволяет сделать ряд обоснованных предположений:
- Социальная инженерия: атака полагается на убедительные сообщения и поддельные документы, чтобы заставить пользователя совершить опасные действия.
- Злоупотребление доверием к RMM: использование легитимных инструментов снижает подозрения и усложняет обнаружение.
- Возможные цели полезной нагрузки: эксплуатация уязвимостей, выполнение команд удалённо, установка backdoor’ов или получение несанкционированного доступа и контроля над системой.
Риски и последствия
Атаки такого типа несут повышенный риск для организаций и частных пользователей, поскольку позволяют злоумышленникам:
- скрывать вредоносную активность на фоне обычного административного трафика;
- получать длительный и устойчивый доступ к инфраструктуре;
- обходить стандартные меры защиты за счёт доверия к инструментам удалённого управления.
Рекомендации для пользователей и организаций
Чтобы снизить вероятность успешной атаки, рекомендуем придерживаться следующих практик:
- Проявлять осторожность при получении документов из неожиданных источников, даже если сообщение выглядит легитимно.
- Проверять подлинность отправителя и контекст обмена перед загрузкой и открытием файлов.
- Ограничить права и доступ RMM-инструментов по принципу наименьших привилегий.
- Внедрить мониторинг активности RMM и сканирование на предмет подозрительных команд или соединений.
- Обучать сотрудников признакам фишинга и приёмам социальной инженерии.
- Регулярно обновлять ПО и управлять уязвимостями, чтобы снизить шанс эксплуатации.
Заключение
Текущая кампания демонстрирует эволюцию атакующих методик: переход от явных мошеннических исправлений к более тонким приёмам, использующим доверие к легитимным инструментам. Это подчёркивает необходимость повышенного внимания к обмену документами и строгих процедур управления удалённым доступом. Организациям и пользователям важно сохранять бдительность и принимать превентивные меры, чтобы минимизировать риски компрометации.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Кампания RMM: распространение вредоносного ПО через поддельные документы".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.