«У пользователей, не установивших сертификаты безопасности Минцифры, с 30 января возникнут проблемы с доступом на сайт Госуслуг и в онлайн-банкинг». Испугались? На то и расчет: 25 января система защиты от сложных и неизвестных киберугроз F.A.C.C.T. Managed XDR перехватила фишинговые письма, отправленные якобы от Минцифры.
В отличие от большинства вредоносных рассылок это письмо было составлено довольно грамотно и стильно оформлено. Только вот кнопка «Скачать», как установили в ходе дополнительной проверки аналитики Центра Кибербезопасности F.A.C.C.T. , вела на архив с загрузчиком, а в конце всей цепочки загружался стилер MetaStealer (вариация RedLine Stealer).
MetaStealer — шпионское ПО, которое нацелено на кражу конфиденциальной информации с компьютера жертвы. Первое появление данного стилера было замечено в 2022 году. Чаще всего распространяется через рассылку фишинговых писем. Имеет версии для атак как на Windows, так и на MacOS.
В тексте письма присутствует ссылка, при переходе по которой скачивается архив russian_trusted_ca_ms.cer.rar (sha1: 242fb5d530c4da533bac43ef6d4e26af7e080adb) с вредоносного ресурса hXXps://wb4o[.]com/click?key=667d6c67929b40aa205b&sub1=user@example[.]ru, где вместо user@example[.]ru указывается реальный адрес электронной почты потенциальной цели атаки. В самом архиве содержатся два одинаковых исполняемых файла russian_trusted_root_ca.cer.exe и russian_trusted_sub_ca.cer.exe (sha1: 5244539842ff4a2e58331aa6a825deb6246da8ee), которые мимикрируют под сертификат безопасности. На самом же деле вместо сертификата в конечном итоге осуществляется загрузка шпионского ПО MetaStealer, которое собирает чувствительные данные с компьютера жертвы.