Фальшивые налоговые документы атакуют пользователей Индии

В Индии зафиксирована новая волна фишинговых атак — пользователям рассылают поддельные уведомления об уплате налогов, за которыми скрывается опасное вредоносное ПО. Об этом сообщили исследователи из CYFIRMA, специализирующейся на кибербезопасности.

Схема проста, как весенний дождь: злоумышленники создали сайт, который один в один копирует официальный портал индийского налогового департамента. На этом ресурсе жертву встречает убедительное "налоговое предписание" — с отсылками к законам, расчетами, штрафами и грозным языком: мол, действуйте быстро, иначе всё пропало.

Доверчивых граждан просят скачать архив ZIP — якобы с деталями расчёта. Файл выглядит, как официальная документация, но на деле внутри прячется образ диска . При извлечении пользователь получает программу-загрузчик, которая запускает опасную DLL-библиотеку. Та мимикрирует под обычную системную службу Windows, но вместо пользы — беда.

По словам специалистов, вирус использует сложные методы сокрытия — так называемый механизм рефлексии, чтобы пройти мимо автоматических антивирусов и затруднить анализ. Для дополнительной надёжности оба файла спрятаны с помощью известной утилиты для защиты кода, затрудняя работу ИБ-отделов.

Когда вредонос активируется, он превращается в троян с удаленным доступом — то есть создает для киберпреступников "портал" к вашему компьютеру: можно наблюдать, собирать данные, выявлять установленные антивирусы, загружать дополнительное ПО и передавать всю информацию на сервер в Гонконге по зашифрованному каналу. Разумеется, всё прячется за привычной внешней мишурой.

CYFIRMA отмечает, что основной смысл атаки — о финансовой выгоде преступников. Механика работы трояна напоминает печально известный семейства XWorm и может использоваться не только для выкачки данных, но и как часть инфраструктуры для последующих атак — например, распространения вымогателей (ransomware) в зависимости от выбранной жертвы.

Как водится, всё это происходит на фоне налогового сезона, когда граждане особенно нервничают и ждут уведомлений — что облегчает задачу злоумышленникам. Специалисты CYFIRMA подчёркивают: подобные схемы уже не раз связывали с вирусами-шифровальщиками. Это значит, что подобная инфекция — лишь верхушка айсберга.

Эксперты советуют: обновляйте антивирусы и проверяйте любое налоговое уведомление только через официальные государственные каналы. Не запускайте сомнительные файлы из архивов и не доверяйте сообщениям, если они пришли не по знакомым каналам. В компаниях стоит запретить запуск неизвестных файлов, тем более через дисковые образы — именно на этом и строится вся схема.