Scaly Wolf атакует российские промышленные и логистические предприятия

Для кражи корпоративных данных преступники применяют стилер White Snake, несмотря на то что разработчик и продавец этой программы запретил использовать ее на территории России и СНГ

30 января 2024 г.

Группировка Scaly Wolf активна с начала лета 2023 года и инициировала не менее 10 кампаний. Преступники охотились за корпоративными данными, преимущественно выбирая в качестве целей промышленные и логистические компании из России. Последняя атака инициирована в январе 2024 года.

Злоумышленники рассылают фишинговые письма, замаскированные под документы государственных органов. Среди них — запросы и требования Роскомнадзора, Следственного комитета РФ и Военной прокуратуры РФ, а также судебные постановления и другие предписания регуляторов. В некоторых случаях вредоносное сообщение оформляли как коммерческое предложение.

Отличительная черта Scaly Wolf — высокий уровень юридической грамотности, с которой составлялись письма и поддельные документы. Во всех случаях текст письма выглядит крайне убедительно и вызывает доверие у пользователей. Это побуждает жертву следовать инструкции из письма и открыть зашифрованный архив, где якобы содержатся документы.

На самом деле там находится вредоносное ПО — стилер White Snake, который позволяет злоумышленникам получать доступ сразу к нескольким корпоративным ресурсам, например электронной почте и CRM‑системе.

White Snake собирает аутентификационные данные, включая сохраненные в браузере логины и пароли, записывает нажатия клавиш, копирует файлы с зараженного компьютера и обеспечивает удаленный доступ к нему. Программа интегрирована с ботом в Telegram, где злоумышленники получают оповещения о новых зараженных устройствах.

White Snake сразу привлек киберпреступников низкой стоимостью (всего 140 долларов за месяц аренды), простотой в использовании и широкой функциональностью, в частности возможностью красть данные криптокошельков. Однако разработчики стилера запретили применять его на территории России и СНГ. Группировка Scaly Wolf сумела обойти этот запрет: она отключила функцию, которая немедленно прекращала работу программы, если ее запускали на устройстве с IP‑адресом из «запрещенных» регионов.

Олег Скулкин

Руководитель BI.ZONE Threat Intelligence

Наиболее вероятная мотивация Scaly Wolf — выкуп за украденные данные или их перепродажа на черном рынке. Судя по непрекращающейся активности группы, ее атаки на российские компании будут продолжаться еще долго и, скорее всего, по той же схеме — с использованием фишинговых писем для распространения стилера.

По нашим данным, 68% целевых атак на компании начинаются с фишингового письма. В 2023 году в число лидеров по количеству потенциально опасных сообщений вошли промышленность и логистика — именно те отрасли, которые атакует Scaly Wolf.

Чтобы защитить корпоративную почту от фишинга, мы рекомендуем сервис для фильтрации нежелательных писем BI.ZONE CESP. К каждому электронному сообщению он применяет более 600 механизмов фильтрации, используя статистический, сигнатурный и эвристический анализ, технологии машинного обучения. Такая проверка избавляет компанию от проблемы нежелательных писем, при этом не задерживая доставку легитимной почты.

Изучить ландшафт киберугроз и подготовиться к возможным атакам помогают данные с платформы BI.ZONE Threat Intelligence. Решение предоставляет информацию об актуальных атаках, злоумышленниках, их методах и инструментах. Эти данные помогают обеспечить эффективную работу средств защиты информации, ускорить реагирование на инциденты и обезопасить себя от наиболее критических для компании угроз.