Злоумышленники прикрепляют к постам в Telegram архивы с вредоносными файлами внутри (с расширениями типа .lnk, .com и .cmd). Если пользователь откроет эти файлы, на устройство загрузится вредоносное ПО - троянец DarkMe, позволяющий удалённо выполнять команды с сервера злоумышленников и красть данные.
"Атакующие постарались тщательно скрыть следы заражения. Например, после установки вредоносное ПО удаляет файлы, которые использовались для того, чтобы имплант DarkMe попал на устройство", - отметили в Kaspersky.
"Кампания, судя по всему, связана с группой DeathStalker (ранее Deceptikons). Она действует минимум с 2018 года, по некоторым данным - с 2012. Злоумышленники работают как "кибернаёмники", то есть оказывают хакерские услуги, и занимаются финансовой разведкой: собирают различную коммерческую, финансовую и личную информацию, например в пользу конкурентов. В основном группа атакует малый и средний бизнес, финтех-компании, финансовые и юридические организации", - добавили там.
"Мессенджер может вызывать у потенциальных жертв больше доверия, чем фишинговый сайт. Кроме того, загрузка файлов из таких приложений может показаться менее опасной, чем скачивание из интернета. Обычно мы рекомендуем осторожно относиться к различным электронным письмам и ссылкам, но эта кампания показала, что важно быть бдительными и при использовании других ресурсов, в том числе приложений для общения вроде Skype и Telegram", - прокомментировала ведущий эксперт Kaspersky GReAT Татьяна Шишкова.
