Злоумышленники рассылают поддельные патчи для уязвимости в Kaseya VSA

Киберпреступники пытаются воспользоваться критической ситуацией, сложившейся в связи с массовыми атаками вымогательского ПО REvil через MSP-провайдера Kaseya, и рассылают потенциальным жертвам спам-письма с полезной нагрузкой Cobalt Strike, замаскированной под обновления безопасности для Kaseya VSA.

Cobalt Strike – легитимный инструмент для тестирования безопасности и симуляции угроз, очень популярный у хакеров. Киберпреступники используют его для выполнения различных задач после первоначального взлома сети, в частности, для получения удаленного доступа к скомпрометированным системам. Целью таких атак обычно является либо похищение данных, либо развертывание вредоносного ПО. Согласно прошлогоднему отчету Cisco Talos Incident Response, в четвертом квартале прошлого года в 66% от всех атак вымогательского ПО использовался фреймворк Cobalt Strike.

В обнаруженной специалистами Malwarebytes Threat Intelligence спам-кампании используется два способа развертывания полезной нагрузки Cobalt Strike. Злоумышленники рассылают потенциальным жертвам письма с вредоносным вложением и встроенной ссылкой, выглядящей так, будто это патч от Microsoft для уязвимости нулевого дня в Kaseya VSA, эксплуатировавшийся операторами вымогательского ПО REvil. Когда жертва запускает вредоносное вложение или загружает и запускает поддельный патч от Microsoft, злоумышленники получают постоянный удаленный доступ к ее компьютеру.

Широко освещаемая в СМИ кибератака на Kaseya, затронувшая множество ее клиентов, является отличной приманкой. Поскольку компания сама призналась в том, что не исправила уязвимость нулевого дня в VSA, которой воспользовались операторы REvil, многие ее клиенты вполне могут стать жертвами вышеупомянутой фишинговой компании, стремясь защитить себя от атак.