Шахраї крадуть доступ до поштових скриньок на Ukr.net: у Держспецзв'язку розповіли подробиці

Як ідеться у повідомленні структури, зловмисники начебто від імені технічної підтримки Ukr.net надсилають електронні листи з темою "Помічена підозріла активність @UKR.NET" та додатком у вигляді PDF-файлу з назвою "Попередження про безпеку". Електронною адресою відправника вказано [email protected].

Згаданий PDF-документ містить погрозу блокуванням поштової скриньки та вимагу підтвердити доступ до поштового акаунту, перейшовши за посиланням. Насправді ж посилання спрямовує на шахрайський сайт, що імітує вебсторінку поштового сервісу.

У разі автентифікації на підробному сайті логін та пароль користувача будуть надіслані зловмисникам, завдяки чому сторонні особи дістануть несанкціонований доступ до електронної поштової скриньки.

Фахівці CERT-UA вжили додаткових заходів з аналізу мережевої інфраструктури, що застосовується для здійснення аналогічних кібератак від 2021 року. В результаті виявлено щонайменше 118 пов'язаних доменних імен, зареєстрованих компанією Internet Domain Service BS Corp (@internet.bs, Багамські острови).

"Відповідні сервери, за даними Domaintools, розміщено в Нідерландах на технічному майданчику Nice-IT aka @as49447.net (номер автономної системи: 49447)", йдеться у повідомленні.

Описана активність відстежується за ідентифікатором UAC-0036: угрупування також відоме під назвами Coldriver та Callisto і працює, як вказує CERT-UA, в інтересах спецслужб Росії.

"Задля мінімізації вірогідності реалізації кіберзагроз у відношенні громадян України ідентифіковані доменні імена додано до DNS RPZ-зони, яка обслуговується CERT-UA, а також передано фахівцям CSIRT-NBU (команди реагування на кіберінциденти в банківській системі України) з метою внесення до DNS RPZ-зони "шахрайство", - зазначають фахівці.

Вони радять користувачам Ukr.net не переходити за підозрілими посиланнями, налаштувати багатофакторну автентифікацію, вживши інших заходів щодо посилення безпеки.

Так, рекомендовано перевірити факти мережевої взаємодії з доменними іменами та IP-адресами, зазначеними в розділі "Індикатори кіберзагроз", починаючи з 1 січня 2023 року, а також звернути увагу на наявність несанкціоновано налаштованих фільтрів пошти та сторонніх пристроїв/додатків, яким надано доступ до поштової скриньки.

Джерело фото: ua.depositphotos.com