Сотрудники нескольких российских компаний, в том числе из IT-сектора, получили вредоносные письма в июне 2022 года. Теперь же стало известно, что за атакой с использованием вредоносных писем стояли китайские хакеры из группировки Tonto Team, которая также известна под названиями HeartBeat, Karma Panda, CactusPete и др. Об этом пишет издание Forbes со ссылкой на данные компании Group-IB, работающей в сфере информационной безопасности.

Источник изображения: Pixabay

По данным Group-IB, используемая компанией система Managed XDR выдала оповещение о блокировке вредоносных электронных сообщений 20 июня. На тот момент было установлено получение таких писем двумя сотрудниками компаний, но в получателях также значились десятки представителей ведущих IT- и ИБ-компаний. При этом о каких именно компаниях идёт речь, сказано не было. В сообщении говорится, что целью хакеров стали сотрудники «телеком-операторов, разработчиков программного обеспечения, вендоры, один известный поисковик».

Для рассылки вредоносных писем злоумышленники использовали фальшивую почту, которую зарегистрировали в бесплатном сервисе Global Message eXchange. Специалисты Group-IB провели собственное расследование этого инцидента, в ходе которого сумели получить доказательства причастности к атаке хакеров из Tonto Team.

В компании пояснили, что хакеры использовали фишинговые письма для рассылки документов Microsoft Office, созданных с помощью компоновщика вредоносных RTF-эксплойтов Royal Road Weaponizer. Отмечается, что этот инструмент уже давно используют китайские прогосударственные хакеры. Помимо этого, специалисты обнаружили бэкдор Bisonal.DoubleT, созданный членами группировки Tonto Team.

Агентство по кибербезопасности и защите инфраструктуры США (CISA) совместно с Агентством национальной безопасности США распространило сообщение (PDF) о массированной фишинговой атаке, которая реализовывалась при помощи законных программ удалённого доступа и включала мошеннические действия с банковскими счетами жертв.

Источник изображения: Tumisu / pixabay.com

Жертвами атаки стали сотрудники Министерства внутренней безопасности, Министерства финансов и Министерства юстиции США. Злоумышленники рассылали работникам ведомств фишинговые письма, в которых пытались заставить своих жертв переходить по адресам вредоносных сайтов «первой стадии», которые выдавались за ресурсы известных компаний, в том числе Microsoft и Amazon. С некоторыми госслужащими связывались по телефону, пытаясь обманом заставить их открывать эти сайты.

На втором этапе жертвы устанавливали программы удалённого доступа, при помощи которых злоумышленники реализовывали мошеннические схемы. На компьютерах жертв киберпреступники получали доступ к их банковским счетам или банковским выпискам, которые впоследствии подделывались. Балансы по выпискам расходились с реальностью, и жертв атаки инструктировали о том, как «возместить» некую избыточную сумму.

Эксперты CISA подчеркнули, что массированная фишинговая атака производилась злоумышленниками, преследующими исключительно корыстные цели. Однако использованные при этом технические средства предполагали удалённое управление компьютерами, входящими в инфраструктуру государственных ведомств, что означает потенциальную угрозу национальной безопасности страны.