Налог, который не стоит платить: Group-IB и ФНС предупреждают о вредоносной рассылке от имени налоговой

Group-IB, международная компания, специализирующаяся на предотвращении кибератак, совместно с Федеральной налоговой службой предупреждают о фишинговой атаке, нацеленной на юридические лица и государственные учреждения. В настоящее время рассылка вредоносных писем продолжается.

Специалисты Центра реагирования на инциденты кибербезопасности CERT-GIB зафиксировали вредоносную кампанию якобы от имени ФНС: в поддельных письмах под видом вызова в налоговую киберпреступники распространяют ПО для удаленного управления компьютером. CERT-GIB и ФНС рекомендуют проявить максимальную бдительность и с осторожностью относиться к требованиям открыть файлы во вложении.

Рассылка началась 27 июля. Всем атакуемым приходило одинаковое письмо, в адресе отправителя которого была указана почта info@nalog.ru, которая полностью имитировала легитимный домен ФНС. На самом деле письма рассылались с публичных почтовых сервисов, технические заголовки были подделаны. Автор письма просил явиться в «Главное Управление ФНС России» для «дачи показаний по движению денежных средств», а также распечатать и заполнить документы, находящиеся во вложении к письму. В случае неповиновения, отправитель «обещал» санкции, предусмотренные УК РФ. Как подчеркивают в ФНС, ни организации, фигурирующей в подписи к письму, ни сотрудников, от имени которых были отправлены эти сообщения, не существует.

Данные сообщения являются поддельными и не имеют к Федеральной налоговой службе никакого отношения. ФНС России не направляет налогоплательщикам письма о наличии задолженности и с предложениями оплатить долг в режиме онлайн. Вся необходимая информация о неуплаченных налогах и способах их оплаты размещена в группе сервисов „Личный кабинет налогоплательщика“. Будьте бдительны и не открывайте подобные письма.

Пресс-служба

ФНС России

Специалисты CERT-GIB вновь указывают на качество фишинговой атаки. В ходе анализа было установлено, что во вложении к поддельному письму находился архив «zapros-dokumentov.rar», в котором был другой запароленный архив и текстовый файл с паролем от него. При открытии аттача на компьютер жертвы загружалась легитимная программа для удалённого администрирования и управления компьютером, RMS (Remote Manipulator System). Именно поэтому для большинства антивирусных средств подобное письмо не выглядело вредоносным.

Однако в данном случае ПО RMS было модифицировано злоумышленниками таким образом, что при запуске исполняемого файла они получали полный удаленный контроль над атакованной рабочей станцией. Как правило, такое ПО используется на первом этапе целевой атаки для закрепления в сети, дальнейшего продвижения по ней или для эксфильтрации данных с зараженной машины.

В арсенале современных киберпреступников есть множество техник для сокрытия вредоносной активности от популярных средств корпоративной защиты. Рассылки с вложенными или запароленными архивами, отложенной активацией и использованием модифицированного легитимного ПО оказываются оперативно обнаруженными только в случае использования систем раннего обнаружения кибератак, задействующих алгоритмы поведенческого анализа и позволяющих изучить подозрительный файл в изолированной среде до того, как он попадет на компьютер пользователя.

Ярослав Каргалев

Заместитель руководителя CERT Group-IB

В связи с тем, что в настоящее время рассылка вредоносных писем продолжается, CERT-GIB и ФНС рекомендуют проявить бдительность. Любые просьбы загрузить, установить файлы должны расцениваться как подозрительные. При получении подобного письма необходимо оперативно сообщить внутренней службе безопасности и работать с документами только после их проверки. В ФНС также напоминают, что официальная рассылка направляется только тем, кто указал и подтвердил адрес своей электронной почты в Личном кабинете налогоплательщика. В таких письмах обычно указана информация об изменениях в Личном кабинете налогоплательщика, о регистрации обращения в Службу и получении ответа на него. Причем формат ответа на обращение (.pdf, .xml) пользователь выбирает самостоятельно при обращении через сайт.