Хакер использовал фейковую крипто-конференцию, чтобы заразить вредоносным ПО специалистов по кибербезопасности
Неизвестный злоумышленник, выдававший себя за представителя криптовалютного новостного издания, атаковал специалистов по кибербезопасности во время конференций Black Hat и Def Con, используя фиктивную конференцию и документ Google Docs для попытки установки вредоносного ПО. Кампанию задокументировала компания Huntress.
В начале этого месяца, примерно во время проведения хакерских конференций Black Hat и Def Con, несколько специалистов по кибербезопасности стали мишенью кампании, в которой злоумышленник представлялся сотрудником известного криптовалютного новостного сайта. Атакующий связывался с жертвами в соцсети X — как через публичные ответы, так и через личные сообщения, — а затем использовал документ Google Docs, пытаясь заставить жертв установить вредоносное ПО.
В среду компания по кибербезопасности Huntress опубликовала запись в блоге, подробно описывающую эту кампанию, целью которой стал в том числе один из её собственных исследователей. Он сделал вид, что сотрудничает с атакующим, чтобы выяснить его намерения.
Общаясь на ломаном английском, злоумышленник спросил исследователя о планах посетить ближайшую конференцию, а затем упомянул мероприятие, якобы организованное тем самым криптовалютным изданием. После этого атакующий отправил настоящий документ Google Docs, оформленный как план проведения вымышленной конференции. В документе была боковая панель, призванная создать впечатление, что содержимое зашифровано, — цель состояла в том, чтобы заставить жертву ввести фальшивый ключ дешифровки, предоставленный злоумышленником. Это был первый шаг к установке вредоносного ПО для macOS или Windows, в зависимости от используемой жертвой операционной системы.
Чтобы боковая панель выглядела правдоподобно, атакующий использовал Google App Script — инструмент, позволяющий разработчикам настраивать интерфейс Google Docs, добавляя меню и боковые панели. Исследователю Huntress злоумышленник пытался подсунуть программу для кражи данных на компьютерах Apple, инструмент удалённого доступа, переделанный во вредоносное ПО для Windows, а также поддельный установщик криптовалютного кошелька Ledger.
Аккаунт, который Huntress идентифицировала как принадлежащий атакующему, не ответил на личное сообщение TechCrunch. Специалистов по кибербезопасности и раньше атаковали разные хакеры, однако эту кампанию сделало более убедительной использование подлинного документа и функции Google. Google на момент публикации не ответила на запрос TechCrunch о том, известно ли компании об этой или похожих кампаниях.
