США стали главной целью фишинговой кампании с установкой RMM-софта
Исследователи ANY.RUN связали с одной операцией 601 случай в 46 странах: около 45% наблюдаемой активности пришлось на США. Злоумышленники маскируют установку легитимных средств удалённого управления под документы, счета и уведомления.
Фишинговая кампания, которую первоначально связывали с канадским таргетингом из-за приманок в виде налоговых форм Канадского налогового агентства, оказалась значительно шире. По данным ANY.RUN, операция затронула 46 стран, а США стали её основной географической целью: на них пришлось около 45% зафиксированной активности.
Исследователи отнесли к кампании 601 случай. Её цель — убедить жертву установить легитимное программное обеспечение для удалённого мониторинга и управления (RMM). В этой схеме его используют для несанкционированного удалённого доступа.
Содержание приманок меняется в зависимости от предполагаемой аудитории. Среди них встречаются сообщения о доставке и письма от имени UPS, документы Adobe, налоговые уведомления, темы, связанные с Управлением социального обеспечения США, счета и другие файлы. Для доставки используются Vercel, GitHub Pages, Netlify, скомпрометированные сайты и другие площадки; полезные файлы также размещали в Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox и GoFile.
Инфраструктура кампании быстро меняется. ANY.RUN обнаружила 425 URL фишингового набора на 240 хостах, причём 94% из них наблюдались лишь один день. При этом исследователям удалось связать отдельные эпизоды по более устойчивым признакам: файлу font1.woff2, повторяющимся изображениям и цепочке доставки secure.html → project/*.zip.
Среди наиболее затронутых отраслей названы образование, технологии и государственный сектор; также заметная активность наблюдалась в банковской сфере, финансах и промышленности. Авторы исследования отмечают, что отслеживание только доменов, репутации файлов или конкретных продуктов RMM в данном случае недостаточно: домены и используемые программы могут быстро заменяться, тогда как схема доставки сохраняет общие признаки.