В Україні нова хвиля вірусної атаки: під прицілом бухгалтерське ПЗ

Фахівці компанії ISSP Labs зафіксували початок нової хвилі кібератак з використанням офіційного сайту компанії з розробки комплексу бухгалтерського обліку Crystal Finance Millennium

Згідно з прес-релізом компанії, при моніторингу вірусної активності була виявлена розсилка, в якій був ідентифікований цікавий зразок. Файл з назвою “док.zip” завантажується разом з отриманим електронним листом, який відкриває жертва, і є текстовим файлом зі скриптом мовою JavaScript. Скрипт є завантажувачем, основне завдання якого завантажити і запустити виконуваний файл (модуль) load.exe, який стає вікном для зловмисників.

“Цей шкідливий файл збирає інформацію про комп’ютер жертви і відправляє її на командні центри зловмисників. Паралельно з цим даний файл чекає вказівок від зловмисників і очікує команди на встановлення додаткових модулів, які перетворять комп’ютер жертви на бажаний для хакерів”,— повідомив керівник ISSP Labs Олексій Ясинський.

Популярне: Це не їдять навіть таргани: які продукти вбивають настрій

У прес-релізі наголошується, що, згідно з публічною інформацією, cfm.com.ua — сайт програмного комплексу бухгалтерського обліку Crystal Finance Millennium. Імовірно, зловмисники використовували уразливості сайту для розміщення там шкідливих файлів, або це результат атаки NotPetya 27 червня (зловмисники залишили для себе можливість несанкціонованого входу і тепер нею скористалися).

Компанія рекомендує тимчасово заблокувати на фаєрволах ip-адреси та посилання, зазначені в звіті. Серед рекомендацій для користувачів вона назвала видалення листів з архівними вкладеннями з незнайомих і неперевірених адрес, не відкриваючи їх.