Хакеры придумали новую схему атак на израильтян – подробности

В Израиле обнаружили новую кампанию кибератак, в рамках которой злоумышленники выдают себя за представителей налоговой службы. С помощью поддельных электронных писем они пытаются убедить сотрудников организаций загрузить вредоносное программное обеспечение, которое может предоставить хакерам удаленный доступ к компьютерам. За атакой предположительно может стоять группировка, связанная с иранской разведкой.

Об этом пишет "Маарив".

Об обнаруженной угрозе сообщили исследователи Cato CTRL — подразделения компании Cato Networks, специализирующегося на кибербезопасности. По их данным, кампания началась как минимум в сентябре 2026 года. Целями стали израильские организации из разных сфер, в частности сотрудники финансовых, бухгалтерских и административных отделов.

Злоумышленники рассылают письма, оформленные под официальные уведомления налогового управления Израиля. В сообщениях содержатся ссылки на поддельные государственные сайты, которые внешне напоминают настоящий личный кабинет налоговой службы. Пользователям предлагают пройти проверку безопасности, после чего скачать документы, связанные с налоговой отчетностью.

Однако вместо ожидаемых документов на компьютер загружается исполняемый файл. Среди обнаруженных примеров исследователи назвали файл с названием Israel Tax Authority.exe. Его запуск может привести к установке программы SimpleHelp, предназначенной для удаленного управления компьютерами и оказания технической поддержки.

Хотя это программное обеспечение используется легально, в данном случае его возможности могут быть задействованы для получения посторонними лицами доступа к устройствам сотрудников. В частности, такая программа позволяет просматривать информацию, запускать приложения, выполнять команды и передавать файлы. Кроме того, злоумышленники потенциально могут повторно подключаться к компьютеру без участия пользователя.

Исследователи предполагают, что за кампанией может стоять хакерская группировка MuddyWater, которую связывают с Министерством разведки и безопасности Ирана. Такая оценка основана на сходстве методов нынешней атаки с предыдущими операциями группировки, в том числе на использовании фишинговых сообщений на иврите и распространении легитимных программ для удаленного доступа.

Ранее MuddyWater уже применяла похожие методы. В октябре 2023 года группировка распространяла SimpleHelp через фишинговые сообщения. В марте 2024 года израильтяне получали поддельные письма на иврите, посвященные вопросам заработной платы, которые также побуждали загружать программы удаленного управления.

Вместе с тем исследователи подчеркивают, что причастность MuddyWater к нынешней кампании пока не подтверждена окончательно. Речь идет о предположении, основанном на технических признаках и совпадении методов работы.

Отдельно отмечается, что речь идет не о взломе самой программы SimpleHelp или использовании обнаруженной в ней уязвимости. Представители разработчика после обращения исследователей провели собственную проверку и не нашли свидетельств проникновения в системы компании. Они подтвердили, что в подозрительных файлах содержались компоненты старой версии их программного обеспечения, использованного злоумышленниками в противоправных целях.

Компания Cato Networks обнаружила несколько сайтов, распространявших подозрительные файлы, а также серверы, связанные с инфраструктурой управления атакой. Ее система защиты смогла выявить и заблокировать один из запросов к связанному с кампанией веб-адресу.

При этом точное количество организаций, получивших поддельные письма, и сотрудников, которые могли скачать опасные файлы, неизвестно. Исследователи также не располагают подтвержденными данными о том, что злоумышленникам удалось получить контроль над компьютерами жертв.

Специалисты обращают внимание на опасность подобных фишинговых атак, поскольку они используют доверие сотрудников к официальной переписке с государственными учреждениями. Особую осторожность следует проявлять при получении писем с просьбами перейти на сторонний сайт, пройти проверку и скачать файлы на рабочий компьютер.

Ранее "Курсор" писал, что хакеры атаковали супермаркеты пяти стран: последствия серьезные.

В супермаркетах нескольких европейских стран произошли необычные сбои, которые привели к порче продуктов и крупным убыткам.