Фальшивый клиент — настоящий доступ
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи Allure сообщили о кампании, в которой киберпреступники маскируют инструмент удалённого доступа под несуществующие настольные приложения крупных американских платформ для HR и расчёта зарплаты.
Злоумышленники имитировали три известные американские HR- и payroll-платформы. Вероятно, их выбрали потому, что они работают в облаке через браузер и не предлагают отдельную программу для компьютера. Именно этот пробел и стал приманкой: на поддельных страницах пользователям предлагали скачать «десктопный клиент».
Для создания копий сайтов преступники использовали Lovable — легитимный сервис на базе искусственного интеллекта, который позволяет собирать сайты и посадочные страницы по текстовым запросам без специальных технических навыков. Внешне страницы напоминали настоящие сайты брендов, но содержали важное отличие: кнопку загрузки приложения, которого у реального поставщика не существует.
Ссылка вела на GitHub Releases — функцию GitHub, предназначенную для публикации готовых версий программ. Поскольку GitHub является легитимным и широко используемым сервисом, такой адрес мог не вызвать подозрений.
Сам загружаемый файл также не был вредоносным в привычном смысле. Это помогало ему проходить мимо многих антивирусов и систем защиты конечных устройств и без лишних предупреждений устанавливаться на компьютере.
После установки жертва получала вариант ScreenConnect от ConnectWise. Это законный инструмент удалённого доступа и технической поддержки, которым обычно пользуются ИТ-отделы и поставщики управляемых услуг. С его помощью специалисты подключаются к компьютерам и серверам, устраняют неисправности, устанавливают программы и обновления.
Однако тот же механизм делает ScreenConnect удобным для атакующих: программа может давать удалённый, в том числе привилегированный, доступ к системе. Исследователи заявили, что обнаруженная сборка была настроена на скрытую работу. Режим доступа был установлен как unattended — «без участия пользователя», а уведомления отключены: не показывались баннер о контроле компьютера, значок в системном трее и всплывающее сообщение о подключении.
Иными словами, злоумышленники могли подключаться к компьютеру так, чтобы его владелец ничего не заметил.
Allure не установила, кто стоит за кампанией, и не сообщила, насколько она оказалась успешной. Предположительно, атака была направлена на финансовые и HR-подразделения. Страница загрузки GitHub показывала 291 скачивание, но это число не равно числу жертв: файл могли изучать исследователи, запускать в песочницах, а часть пользователей могла распознать атаку до серьёзного ущерба.
Точная цель преступников также неизвестна. Allure допускает, что речь могла идти о мошенничестве с переводами: скрытый доступ к компьютеру сотрудника, отвечающего за зарплаты, способен открыть путь к перенаправлению или выводу всей зарплатной ведомости компании.
Исследователи советуют компаниям проверить, существует ли у используемой облачной HR- или payroll-платформы официальный настольный клиент. Если поставщик его не выпускает, неожиданная ссылка на «новое приложение» — не обновление, а повод остановиться и проверить источник.
PEREC.RU
Кампания показывает, как злоумышленники используют доверие к известным корпоративным сервисам и легитимным платформам. Они создали копии сайтов трёх крупных американских HR- и payroll-систем и добавили на них предложение скачать настольный клиент. Для пользователей это могло выглядеть правдоподобно: многие считают нормальным, что крупный облачный сервис однажды выпустит приложение для компьютера.
Особенно опасен тот факт, что жертвам не предлагали очевидно вредоносный файл. Загрузка проходила через GitHub Releases, а установленная программа представляла собой модифицированный ScreenConnect — настоящий инструмент удалённого администрирования от ConnectWise. Антивирусы и системы защиты часто относятся к таким легитимным программам спокойнее, чем к специально написанному вредоносному коду.
Атакующая настройка отключала признаки присутствия постороннего: не появлялись предупреждение о контроле компьютера, значок программы и уведомления о подключении. Это превращало обычный инструмент поддержки в скрытую дверь с удалённым управлением. Потенциально злоумышленники могли видеть и менять данные на компьютере, устанавливать дополнительное программное обеспечение и использовать доступ для дальнейшего проникновения.
Главный риск связан с тем, что предполагаемыми целями стали финансовые и HR-подразделения. Если скрытый доступ получают к компьютеру сотрудника, который управляет зарплатными платежами, преступники могут попытаться изменить реквизиты, перенаправить выплаты или вывести средства компании. Allure допускает именно сценарий wire fraud — мошенничество с переводами.
Однако доказательств успешного массового взлома пока нет. Авторы кампании не установлены, число пострадавших неизвестно, а 291 скачивание на странице GitHub не означает 291 заражение. Часть загрузок могли сделать исследователи, системы автоматического анализа или пользователи, которые обнаружили обман до наступления ущерба.
Практический вывод прост: организациям следует проверить, предлагает ли их HR- или payroll-поставщик официальный настольный клиент. Если сервис работает только через браузер, файл с обещанием «десктопной версии» нельзя считать обновлением. Его нужно рассматривать как потенциальную приманку, не устанавливать без проверки и дополнительно подтверждать информацию через официальные каналы поставщика.
