На теневых площадках стали предлагать новый инструмент для массового фишинга: он позволяет отправлять письма с указанием настоящих адресов крупных организаций в строке отправителя. Такие сообщения выглядят как официальная переписка и могут обходить часть стандартных проверок почты. Разработчики сервиса утверждают, что с его помощью уже удалось похитить деньги у нескольких финансовых компаний. Как работает схема и почему обычному пользователю всё сложнее отличить подделку от настоящего письма — в материале «Известий».
Какие инструменты продают хакеры
В даркнете начали распространять сервис для подмены отправителя и массовых рассылок — об этом «Известиям» сообщили эксперты BI.ZONE Threat Intelligence.
«В теневых Telegram-каналах активно рекламируется платформа для спуфинга — технологии, позволяющей проводить фишинговые атаки с использованием чужого адреса, — рассказали эксперты. — Жертва получает письмо, где в строке «Отправитель» указан настоящий email легитимной организации».
Новая платформа позволяет заменить его на любой другой. Так, по утверждению создателей инструмента, с его помощью уже были похищены деньги у нескольких финансовых бирж. Для этого атакующие рассылали письма с жалобами на якобы ошибочные операции и просили вернуть деньги. По утверждению создателей сервиса, такие обращения были удовлетворены, а средства получили мошенники. Письма при этом отправлялись от имени двух банков.
«Разработчики платформы подчеркивают, что не регистрируют поддельные доменные имена, которые похожи на настоящие, но отличаются на один малозаметный знак, цифру, символ, — добавили специалисты. — В качестве еще одного важного преимущества они указывают возможность обхода DKIM- и SPF-проверок на стороне получателя — специальных инструментов защиты электронной почты, основанных на списках доверенных адресов и цифровом идентификаторе отправителя».
При этом добросовестные организации не несут ответственности за неправомерное использование их названий в преступных целях и причиненный в результате ущерб.
Новый инструмент опасен тем, что позволяет создавать крайне правдоподобные фишинговые письма, подчеркнул руководитель BI.ZONE Threat Intelligence Олег Скулкин.
— Даже очень бдительные пользователи не смогут самостоятельно отличить их от подлинных, поскольку для подмены используются настоящие домены реальных известных компаний, — отметил он. — Кроме того, злоумышленники используют автоматический парсинг изображений, чтобы сделать визуальное оформление своих писем максимально достоверным.
Спуфинг — не новая история, но за последние годы он превратился в развитую индустрию, рассказал аналитик направления аналитических исследований Positive Technologies Дмитрий Стрельцов. На подпольных форумах сформировалась полноценная экосистема Phishing as a Service (PhaaS), где платформы продаются по подписке и также предоставляется техподдержка.
— Главная опасность — человек не может распознать угрозу визуально, — сказал эксперт. — Он видит знакомый адрес банка, регулятора или партнера, привычный фирменный стиль, корректный текст — и далее выполняет инструкцию. Именно поэтому такие атаки эффективны: человек убежден, что имеет дело с реальным отправителем.
Как работает теневой рынок готовых инструментов
Теневой рынок активно превращается в сервисную модель: злоумышленники продают не просто инструменты, а готовые кейсы «под ключ», отметил проджект-менеджер ГК Softline (MD Audit) Кирилл Лёвкин. Помимо спуфинга, популярны phishing-as-a-service — это конструкторы фишинговых страниц с автоматическим сбором данных. Отдельный тренд — использование ИИ: генерация убедительных писем, дипфейки голоса для атак типа vishing, автоматизация переписки с жертвой.
—Также развиваются инструменты для компрометации бизнес-процессов, которые помогают долгое время незаметно вести переписку от имени сотрудника, — отметил Кирилл Лёвкин. — Интересный и особенно опасный класс — это механизмы для кражи сессионных файлов cookie и токенов, позволяющие обходить даже многофакторную аутентификацию. В целом рынок движется в сторону снижения порога входа: сложные атаки становятся доступны практически любому, кто готов заплатить.
Годами пользователи привыкали защищаться от понятных угроз — не кликать на подозрительные ссылки, не скачивать файлы с незнакомых сайтов, не вводить пароли где попало, напомнил Дмитрий Стрельцов.
— Опасность самостоятельного выполнения команд при этом оставалась вне поля зрения — именно это и взяли на вооружение злоумышленники, — добавил он. — Техника ClickFix построена на социальной инженерии: пользователя разными способами подталкивают к тому, чтобы он сам запустил заражение своего устройства. В роли приманки может выступать поддельная CAPTCHA, инструкция по открытию файла, уведомление об обновлении программы или сообщение об ошибке на странице.
На теневых площадках ClickFix продается как отдельный сервис, так и в составе вредоносного ПО. Отдельное направление — программы на базе ИИ, которые позволяют управлять компьютером жертвы через чат с обычными текстовыми командами. Оператор формулирует задачу обычным языком: например, просит найти вчерашний PDF и отправить его указанному получателю. Дальше модель сама выполняет необходимые действия — ищет файл, открывает почту и прикрепляет документ.
Как не стать жертвой атаки
Если платформа позволяет обходить DKIM и SPF-проверки, она действительно способна помочь пройти часть спам-фильтров и несколько повысить эффективность скам-рассылок, полагает основатель сервиса разведки утечек данных и мониторинга даркнета DLBI Ашот Оганесян.
— Однако она не решает другую проблему фишинговых писем — ссылки внутри сообщения всё равно могут вести на сторонние сайты, а не на официальный ресурс отправителя. Из-за этого такие письма по-прежнему могут попадать в спам, — сказал эксперт. — При этом возможность обхода DKIM-проверок выглядит сомнительно: в последние месяцы не было сообщений о новых уязвимостях этой технологии. Исключением может быть только уязвимость Ghost-Sender, связанная с серверами Microsoft Exchange Online. При этом российские организации, использующие импортозамещенное ПО, с такой угрозой не сталкиваются.
По словам Олега Скулкина, защита от таких атак строится на анализе отправителя и связанных с ним технических параметров. Почтовые системы оценивают домен, репутацию источника и другие признаки, указывающие на возможную подделку.
— Злоумышленники используют не только спуфинг, но и легитимные сервисы: облачные платформы, веб-формы, файловые хранилища и доверенные домены, — добавил эксперт. — Письма, отправленные через такую инфраструктуру, могут успешно проходить базовые проверки и не вызывать подозрений.
Поэтому стратегия защиты должна включать анализ содержания письма. Системам безопасности важно учитывать не только технические индикаторы, но и особенности самого сообщения: манипулятивные формулировки, призывы к срочным действиям, логические несоответствия и другие нетипичные элементы.
Выявлять подобные атаки помогают ИИ-модели, способные анализировать смысл, контекст и поведение отправителя. Однако компаниям важно не только совершенствовать защитные механизмы, но и обучать сотрудников распознавать опасные письма: поддельные счета, запросы на оплату, уведомления и другие попытки ввести получателя в заблуждение.