Держспецзв’язку попереджає, що російські хакери використовують тематику військовополонених із Курської області для поширення шкідливого софту, за допомогою якого потім викрадають особисті дані.
Урядова команда реагування на комп’ютерні надзвичайні події України CERT-UA, яка діє у складі Держспецзв’язку, зафіксувала кібератаки за допомогою електронних листів з тематикою військовополонених.
“Такі листи містять фотографії з зображеннями нібито військовополонених та посилання для завантаження архіву “spysok_kursk.zip”. В архіві знаходиться файл з розширенням CHM та назвою “список вп, що вибувають. курск.”, — йдеться у повідомленні.
Відкриття цього файлу призведе до завантаження на комп’ютер компонентів вже відомої шпигунської програми SPECTR, а також нової програми FIRMACHAGENT, призначенням якої є вивантаження викрадених даних на сервер управління.
У Держспецзв’язку також поінформували, що за атаку відповідальне угруповання UAC-0020 (Vermin), пов’язане із “силовими відомствами” тимчасово окупованого Луганська.
CERT-UA рекомендує наступні кроки, щоб вберегтися від кіберзагрози:
- обмежте права облікових записів користувачів шляхом видалення їх з груп “Administrators”/”Адміністратори”, щоб скоротити поверхню атаки;
- застосуйте відповідні політики (SRP/AppLocker) для унеможливлення запуску користувачами файлів з розширенням .CHM та powershell.exe.