В России выявлена единая инфраструктура из 120 ресурсов по распространению фейков
Исследователи Positive Technologies обнаружили масштабную сеть по распространению дезинформации. Часть признаков указывает на ее возможную связь с хакерами из группировки Rare Werewolf.
Экспертный центр безопасности Positive Technologies обнаружил единую инфраструктуру для распространения дезинформации. В нее входят более 120 ресурсов: около 50 доменов, не менее 74 Telegram-каналов, а также аккаунты в социальных сетях. В большинстве случаев злоумышленники распространяли фейковые новости, а иногда под видом государственных ведомств запрашивали данные сотрудников российских организаций, говорится в сообщении Positive Technologies.
Значительная часть доменов имитировала официальные новостные порталы, на которых правдоподобные сообщения соседствовали с ложными, а ссылки вели на несуществующие источники. Многие площадки делали ставку именно на привлекающие внимание провокационные заголовки. Некоторые из этих ресурсов существуют до сих пор, отмечают исследователи.
Для распространения дезинформации также были задействованы практически все социальные онлайн-платформы. Аккаунты в Instagram (принадлежит компании Meta, которая, в соответствии с законодательством РФ, признана экстремистской организацией) и на YouTube маскировались под региональные новости, перенаправляя пользователей на те же поддельные сайты. В других социальных сетях злоумышленники активно размещали ссылки на фейковые страницы в комментариях под чужими записями. Больше всего активных каналов нашли в Telegram. Десятки из них публиковали одинаковые тексты со ссылками на одни и те же ресурсы, что и позволило связать их в одну информационную кампанию. На момент исследования аккаунты в TikTok уже были удалены, однако следы их работы сохранились, добавляют Positive Technologies.
Распространением фейков через сайты и соцсети злоумышленники не ограничились. Некоторые российские компании получили письма якобы от государственных ведомств с доменов, похожих на официальные, но лишь на первый взгляд: вместо привычных зон .ru или .gov.ru стояли .live, .work и подобные. Под видом государственных ведомств, по данным исследователей, злоумышленники рассылали ложную информацию, например, о введении чрезвычайной ситуации в регионе, вероятно рассчитывая на ее дальнейшее распространение в СМИ и соцсетях.
Часть писем преследовала другую цель: киберпреступники просили передать списки работников или сведения о зарплатах — такие данные могут пригодиться для последующих целевых атак на конкретных людей. Интересно, что вложения в письмах не содержали вредоносной нагрузки и, по мнению экспертов, были созданы для правдоподобности.
На одном из доменов был архив, путь к которому очень редкий и встречался ранее только у хакеров из Rare Werewolf. Показательно, что первые письма этих злоумышленников обычно не содержат вредоносных вложений — атака начинается после ответа получателя на сообщение. Схожесть писем, общая тематика и нацеленность на Россию позволяют предположить, что фейковая кампания может быть связана с активностью этой группировки, отмечают в Positive Technologies.
Кто и как защищает КИИ в транспортных компаниях России. Инфографика и разбор SecPost
Поставщики и продукты
«Отличие таких кампаний по дезинформации от привычных кибератак в том, что они нацелены не на ИТ-системы, а влияют на восприятие людей. На первый взгляд фейковые ресурсы могут казаться правдоподобными и даже определяться поисковиками как независимые новостные порталы. Можно заблокировать отдельные сайты и аккаунты, но преступники активно создают новые, не ограничивая себя в выборе площадок. В подобных случаях пользователям необходимо критически относиться к резонансным и эмоционально окрашенным новостям и перепроверять информацию в официальных источниках. Также не следует передавать корпоративные данные внешним адресатам без дополнительной проверки», — советуют исследователи.
