Cloud Atlas против России: хакеры играют на чувствах к армии ради кражи информации

Компания F.A.C.C.T. выявила очередные кибератаки на российские организации, осуществленные хакерской группировкой Cloud Atlas. Целями злоумышленников стали агропромышленное предприятие и государственная исследовательская компания.

Cloud Atlas давно известна как прогосударственная APT-группа, занимающаяся кибершпионажем и кражей конфиденциальных данных. По данным исследователей, активна как минимум с 2014 года. Основной метод атаки - точечная почтовая рассылка с вредоносным вложением. Чаще других целями Cloud Atlas становились промышленные предприятия и госкомпании в России, Беларуси, Азербайджане, Турции и Словении.

На этот раз для проникновения в системы злоумышленники использовали адреса, зарегистрированные через популярные почтовые сервисы antonowadebora@yandex.ru и mil.dip@mail.ru и две актуальные темы — поддержку участников СВО и воинский учет.

Так, в одном из писем от имени представителей «Московской городской организации Общероссийского профессионального союза работников государственных учреждений» хакеры предлагали организовать сбор открыток и поздравлений для военнослужащих и членам их семей. При этом указанные в письме контакты были реальные — их можно найти в свободном доступе.

Скриншот письма с вложением для профсоюзных лидеров.

Образец файла-приманки, который содержится во вложении.

В другом случае - злоумышленники представились «Ассоциацией Учебных Центров» и использовали актуальную тему изменений в законодательстве о введении воинского учета и бронировании граждан, пребывающих в запасе.

Скриншот письма с изменениями в законодательстве о введении воинского учета и бронировании граждан, пребывающих в запасе.

Образец файла-приманки, который содержится во вложении.

По словам экспертов F.A.C.C.T., киллчейн в обоих случаях схож с тем, что привела в своем отчете Positive Technologies, но вдобавок использует альтернативные потоки данных.

Технический анализ новых атак Cloud Atlas, а также тактики, техники процедуры MITRE ATT&CK можно найти в блоге компании.