MetaStealer пытается выдать себя за сертификат Минцифры

Специалисты компании FACCT (бывшая Group-IB) предупредили, что перехватили фишинговые письма, отправленные якобы от лица Минцифры.

В этих посланиях жертвам предлагается срочно установить сертификат безопасности Минфицры, а иначе у них якобы возникнут проблемы с доступом к онлайн-банкингу и «Госуслугам». На деле под видом сертификата распространяется стилер MetaStealer (вариация малвари RedLine).

«Министерство цифрового развития РФ сообщает, что с 30.01.2024 у пользователей не установивших на свои операционные системы сертификаты НУЦ Минцифры РФ, могут возникнуть проблемы с доступом, вплоть до полного его отсутствия, к таким сервисам как: Госуслуги, онлайн банкинг, государственные ресурсы, и ряд других российских сервисов», — гласит мошенническое письмо (орфография и пунктуация сохранены).

При этом исследователи отмечают, что это письмо, в отличие от большинства вредоносных рассылок, составлено довольно грамотно и оформлено таким образом, чтобы вызвать доверие у жертвы.

При этом кнопка «Скачать», которую можно увидеть на скиншоте выше, указывает на архив с загрузчиком, который в итоге приводит к скачиванию стилера MetaStealer, а тот похищает у жертвы различные данные.

Так, в тексте письма присутствует ссылка, при переходе по которой загружается архив russian_trusted_ca_ms.cer.rar (sha1: 242fb5d530c4da533bac43ef6d4e26af7e080adb) с вредоносного ресурса hXXps:[//]wb4o[.]com/click?key=667d6c67929b40aa205b&sub1=user@example[.]ru, где вместо user@example[.]ru указывается реальный адрес электронной почты потенциальной цели атаки.

В самом архиве содержатся два одинаковых исполняемых файла: russian_trusted_root_ca.cer.exe и russian_trusted_sub_ca.cer.exe (sha1: 5244539842ff4a2e58331aa6a825deb6246da8ee), которые и маскируются под сертификат безопасности.

Кроме того, при рассылке этих писем-приманок атакующие использовали спуфинг, то есть технику, которая позволяет подделать почту отправителя и создать видимость, что письмо пришло с легитимного адреса.

В FACCT пишут, что в последнее время MetaStealer часто использовала кибершпионская группировка Sticky Werewolf. Однако за новыми рассылками, судя по технике, стоят другие злоумышленники, ведь стилер продается в свободном доступе. Источник

как от него избавиться?

Я так понимаю установившие себе "сертификаты" это в прошлом честно перечислившие на указанные счёта "штрафы" за "пользование нелицензионной Windows" и "просмотр порнографических материалов"

Абсолютно всем кому не лень надо обмануть и ободрать до нитки простого пользователя .

Вообще ставить какие-то левые сертификаты, даже если это не стилер/малварь/троян etc - идея так себе..

Вроде не начало 2000х что бы пугаться такой фигни и сразу скачивать себе что-то против "а то ваши деньги сейчас украдут". Но все равно находятся люди. У меня даже бабуля научена мной посылать всяких разводил по телефону, с компом она не дружит по этому не боюсь за нее.

Насчёт текста письма, которое "составлено довольно грамотно", я бы поспорил. Пунктуация явно хромает.

Легенда Зоны писал(а):

Вроде не начало 2000х что бы пугаться такой фигни и сразу скачивать себе что-то против "а то ваши деньги сейчас украдут". Но все равно находятся люди. У меня даже бабуля научена мной посылать всяких разводил по телефону, с компом она не дружит по этому не боюсь за нее.

Надеюсь, у бабули не смартфон .

Скачивать не известно откуда исполнительные файлы (.exe), а потом ещё и устанавливать??? Не знаю кто на это способен.
А сертификаты устанавливаются в ручную и имеют расширение .cer.
Кстати, а что на это говорит антивирь? Неужели молчит, сигнатура то известна.

andy040670 писал(а):

Скачивать не известно откуда исполнительные файлы (.exe), а потом ещё и устанавливать??? Не знаю кто на это способен. А сертификаты устанавливаются в ручную и имеют расширение .cer. Кстати, а что на это говорит антивирь? Неужели молчит, сигнатура то известна.

Пользователи просто не видят расширение *.exe

ApolloOne писал(а):

Вообще ставить какие-то левые сертификаты, даже если это не стилер/малварь/троян etc - идея так себе..

Верно, но в прошлом годе именно это захотели чтоб мы сделали, из Минцифры. Их сертификат ничем не заверен (кроме ихнего честного слова) и от самоподписанного ничем не отличается.

vlad001 писал(а):

Верно, но в прошлом годе именно это захотели чтоб мы сделали, из Минцифры. Их сертификат ничем не заверен (кроме ихнего честного слова) и от самоподписанного ничем не отличается.

Шабашник Петя взял в сарае топор и нарубил бабе Мане дров на всю зиму, а через год этот же топор взял шабашник Вася и раскроил им бабе Мане голову.
Вот такая же примерно разница.

Ну если прям очень понадобился сертификат Минцифры, валишь на сайт сбера (или госуслуг) находишь сертификат, ставишь. А идти, как телок на убой, по ссылкам из левого письма, так себе затея.

Azimut2009 писал(а):

andy040670 писал(а): Скачивать не известно откуда исполнительные файлы (.exe), а потом ещё и устанавливать??? Не знаю кто на это способен. А сертификаты устанавливаются в ручную и имеют расширение .cer. Кстати, а что на это говорит антивирь? Неужели молчит, сигнатура то известна. Пользователи просто не видят расширение *.exe

А кто запрещает увидеть расширение. Включаешь и все. Баста. Я на такие письмка порнуху в ответ шлю вместо денег. Пущай купят себе "ролус-ройс" детишки. Антивирь тоже должен матюкаться во всю. Сигнатура то известна.

Цитата:

В этих посланиях жертвам предлагается срочно установить сертификат безопасности Минфицры, а иначе у них якобы возникнут проблемы с доступом к онлайн-банкингу и «Госуслугам».

чтобы не устанавливать вообще ничего, есть яндекс браузер. заходит на сайты банков, госуслуги и т.д. и т.п. без всякого фуфла