Alertă de securitate: Instituții de stat și private din România, vizate de o campanie de malware pe email care încearcă să fure date

Directoratul Național de Securitate Cibernetică (DNSC) a atenționat miercuri că, începând cu data de 25 martie 2022, este în desfășurare o campanie cibernetică malițioasă cu malware de tip Trojan Stealer, via email, care vizează instituții de stat și private din România pentru furtul de date din sistemele informatice.

Cum funcționează atacul, ce pericole sunt și cum te poți proteja

Atacatorii impersonează instituții publice sau companii private din România, folosind liste de adrese de email existente în calculatoarele atacate, pentru a transmite și propaga mesaje ce conțin linkuri infectate, precum:

hxxps://onedrive[.]live[.]com/download?cid=204A4E2E2BFCF3CA&resid=204A4E2E2BFCF3CA%21110&authkey=AD5eSXevs3QExIU

Prin accesarea linkului respectiv este descărcat un fișier Excel Macro (de tip Trojan Stealer) după care, odată cu activarea funcției Macro, este instalat un program malițios cu ajutorul căruia sunt extrase date din sistemul informatic.

Pentru a te proteja, DNSC recomandă în primul rând, verificarea adresei reale de mail a expeditorului de pe care sunt transmise mesajele prin suprapunerea cursorului peste adresa expeditorului (caz în care trebuie să apară același expeditor).

Acțiunea trebuie întreprinsă mai ales în situația în care mesajul pare să vină de la o persoană legitimă, cunoscută, având un conținut identic cu cel al unui email primit anterior, fără a exista motive ca acesta să fi fost transmis din nou de la aceeași expeditor.

Alte măsuri de protecție recomandate de DNSC:

Implementarea de urgență a politicii DMARC la nivel de domeniu, măsura fiind necesară întrucât filtrele anti-phishing și anti-spam sunt cele mai eficiente în momentul implementării acestei politici. Astfel, pot fi evitate încă din fază incipientă atacurile care vizează infrastructurile cibernetice.
Verificarea fluxului de mesaje email, în vederea identificării celor care conțin linkul malițios hxxps://onedrive[.]live[.]com/download?cid=AA923B0E0F7A6594&resid=AA923B0E0F7A6594%21107&authkey=ABibU7JaU8GKdaY ori altele similare (ce aparțin domeniului onedrive.live.com), specifice acestei campanii malițioase.
În situația în care sunt identificate astfel de mesaje email, se impune verificarea sistemelor informatice pe care au fost deschise, în vederea stabilirii posibilelor infecții.
Actualizarea filtrelor anti-spam (sa-learn).

Potrivit DNSC, scanarea cu antivirus nu este suficientă pentru depistarea acestui malware. Trojan Stealer nu este ușor de identificat și interceptat, deoarece eludează de multe ori soluțiile antivirus convenționale, motiv pentru care Directoratul recomandă și implementarea de filtre la gateway-ul de email pentru a înlătura e-mailurile cu indicatori cunoscuți de spam sau malware și pentru a bloca adresele IP suspecte din firewall.