Компания Positive Technologies выявила масштабную кампанию по распространению вредоносной программы BoryptGrab, нацеленную как минимум на 1256 российских организаций и индивидуальных предпринимателей. Среди потенциальных жертв оказались финансовые и энергетические компании, а также государственные структуры.
По данным экспертов PT ESC TI, злоумышленник, получивший обозначение VecnaHopper, рассылал вредоносные письма со взломанных почтовых ящиков. Специалисты установили не менее пяти массовых волн атак и обнаружили более 700 связанных с кампанией образцов вредоносного ПО. В одном из случаев скомпрометированный адрес использовали для новой рассылки уже через восемь дней после первоначального заражения.
На индивидуальных предпринимателей пришлось 44% целей, на банки и финансовые организации — 14%, на предприятия топливно-энергетического комплекса и госструктуры — по 11%. Письма имитировали обычную деловую переписку: заказы, запросы и служебные уведомления. Вложения представляли собой защищенные паролем архивы с легитимным отладчиком Visual Studio и вредоносной библиотекой.
BoryptGrab способен похищать учетные данные и сведения о сеансах из браузеров, переписку и данные Telegram, Discord, Steam и криптовалютных кошельков. Кроме того, программа собирает документы с компьютера и делает скриншоты экрана.
Эксперты предупреждают, что даже письмо от знакомого адресата может оказаться вредоносным, если его почта взломана. При подозрении на заражение рекомендуется сменить пароли с безопасного устройства, завершить активные сеансы в сервисах и проверить, не использовался ли скомпрометированный ящик для дальнейших рассылок.