Поддельные VPN в поиске: новая схема кражи корпоративных доступов
Поддельные VPN в поиске: новая схема кражи корпоративных доступов Microsoft раскрыла детали кампании по краже учётных данных, которую отслеживает под именем Storm-2561. Сценарий атаки при этом максимально простой и построен на обычном поведении пользователя. Сотрудник ищет в поиске корпоративный VPN-клиент. В выдаче видит знакомое название, переходит на сайт и скачивает установщик. Проблема в том, что это поддельная страница загрузки, продвинутая в поисковой выдаче через SEO. Пользователь скачивает архив, внутри которого находится троянизированный установщик VPN. Во время установки он подгружает вредоносные библиотеки и запускает фальшивое окно авторизации, визуально полностью повторяющее легитимный клиент. Сотрудник вводит логин и пароль — и данные сразу отправляются злоумышленникам. После этого приложение показывает ошибку и даже может перенаправить пользователя на настоящий сайт VPN. В результате человек может вообще не понять, что произошла компрометация. Для кражи данных используется инфостилер Hyrax, который собирает не только введённые учётные данные, но и конфигурацию VPN-подключений из системы. Почему эта схема опасна: ➖ Пользователь сам скачивает вредоносный файл ➖ Интерфейс выглядит полностью легитимно ➖ Атака происходит ещё до входа в корпоративную сеть ➖ Компрометируются сразу корпоративные доступы Отдельный момент — злоумышленники размещали вредоносные архивы даже в GitHub-репозиториях, а вредоносные файлы были подписаны действительным цифровым сертификатом. Это сильно повышает доверие к таким загрузкам. Сегодня атаки всё чаще строятся не на взломе технологий, а на доверии пользователей. И иногда для компрометации инфраструктуры достаточно одного сотрудника, который скачал «знакомый» установщик из поисковой выдачи. Поэтому базовые правила остаются актуальными: ➖ Скачивать корпоративное ПО только с официальных ресурсов ➖ Использовать внутренние порталы и каталоги приложений ➖ Контролировать загрузку программ через политики безопасности ➖ Регулярно обучать сотрудников цифровой гигиене Иначе даже самый защищённый периметр можно обойти через обычный поисковый запрос. 🔣 Мой канал в MAX Мир Цифры | Туманов