Голосовое письмо с сюрпризом

Почти 8 тысяч организаций стали мишенями фишинговой кампании, в которой злоумышленники маскируют вредоносные письма под автоматические расшифровки голосовых сообщений. Исследователи Check Point Research обнаружили кампанию, направленную, по всей видимости, на кражу учетных данных — паролей и доступа к электронной почте, корпоративным сервисам и другим рабочим системам.

С 17 по 31 августа специалисты выявили более 58 тысяч связанных с атакой писем. Они затронули свыше 7800 организаций. Для рассылки использовались более 38 400 поддельных адресов отправителей и более 9300 поддельных доменов.

Схема рассчитана на привычку сотрудников к автоматизации. Когда голосовое сообщение приходит на телефон или в корпоративную систему, сервис может отправить его текстовую расшифровку на электронную почту. Это удобно в шумном офисе и в ситуациях, когда прослушивать запись вслух нежелательно. Именно знакомый формат и должен усыпить бдительность получателя.

Тема каждого письма начиналась со слов «Automated transcript» — «Автоматическая расшифровка». Далее указывались частично скрытый номер телефона и случайная строка отслеживания. Адрес отправителя при этом подделывался так, чтобы письмо выглядело отправленным с домена самой организации.

В сообщении находилось вложение, похожее на файл записи звонка. Название могло выглядеть примерно так: «▷ ——— 001min 09sec_….svg». Однако SVG — это не аудио, а формат векторной графики. Такие файлы основаны на XML и могут содержать JavaScript — код, который запускается при открытии в браузере.

В этой кампании скрипт перенаправлял пользователя на поддельную страницу входа. Адрес электронной почты жертвы заранее встраивался в ссылку, поэтому поле имени пользователя автоматически заполнялось. Такая мелочь делает страницу убедительнее: получателю кажется, что система действительно знает его и просто просит ввести пароль.

SVG привлекателен для злоумышленников и по другой причине. Почтовые фильтры обычно особенно внимательно проверяют ссылки в тексте и распространенные опасные вложения — например, EXE, DOCX или PDF. SVG нередко остается вне списка главных подозреваемых, хотя способен содержать активный код.

Check Point Research называет кампанию примером того, как быстро атакующие подстраиваются под рабочие процессы, где автоматических уведомлений становится все больше. Компаниям рекомендуют проверять даже привычные сообщения, особенно если отправитель якобы использует тот же домен, что и получатель.

Организациям также стоит заранее определить, к каким типам файлов и доменам искусственный интеллект и автоматические агенты могут обращаться без подтверждения человека. SVG-вложения необходимо анализировать как активное содержимое, а не считать обычными изображениями. Иными словами, письмо, обещающее всего лишь расшифровать голосовое сообщение, иногда расшифровывает только одно — пароль пользователя для преступников.