Vaše objednávka je na cestě – podvod s e-maily

K neočekávaným e-mailům týkajícím se nákupů, doručení nebo aktivity na účtu je třeba vždy přistupovat opatrně. Kyberzločinci často maskují škodlivé zprávy jako legitimní obchodní komunikaci ve snaze přimět příjemce k jednání bez ověření. E-mailová kampaň „Vaše objednávka je na cestě“ je jedním z takových příkladů. Podrobná analýza potvrdila, že tyto e-maily jsou škodlivé spamové zprávy a nejsou spojeny s žádnými legitimními společnostmi, přepravními společnostmi, maloobchodníky ani organizacemi.

Falešná oznámení o dopravě navržená tak, aby vyvolala naléhavost

E-maily s textem „Vaše objednávka je na cestě“ jsou vytvořeny tak, aby připomínaly skutečná oznámení o odeslání. Obvykle přicházejí s předmětem obsahujícím čísla objednávek a referenční kódy, aby zprávy působily důvěryhodně a profesionálně.

Příjemci jsou informováni, že jejich balíček byl údajně odeslán, a jsou vyzýváni ke kliknutí na tlačítko „Zobrazit podrobnosti o zásilce“, kde získají přístup k informacím o sledování a aktualizacím doručení. Znění je záměrně navrženo tak, aby vzbudilo zvědavost a naléhavost, čímž se zvyšuje pravděpodobnost, že příjemci budou reagovat na poskytnutý odkaz, aniž by si zprávu pečlivě prostudovali.

Ve skutečnosti se e-maily netýkají žádného skutečného nákupu ani zásilky. Jejich jediným účelem je přesměrovat příjemce na škodlivou webovou stránku určenou k infikování systémů malwarem.

Škodlivý web stojící za podvodem

Kliknutím na vložený odkaz se uživatelé přesměrují na podvodnou stránku hostovanou na increminder.com. Stránka je stylizována tak, aby připomínala portál pro správu objednávek nebo dopravu, což dále posiluje iluzi legitimity.

Webová stránka tvrdí, že informace o zásilce byly zpracovány a že podrobnosti objednávky jsou k dispozici ke stažení. Také varuje, že stažený soubor může být vyžadován k přijetí balíčku, což je psychologická taktika, jejímž cílem je přimět návštěvníky, aby pokračovali ve stahování.

Místo poskytnutí informací o sledování nebo dokumentace objednávky web doručí škodlivý soubor s názvem „ScreenConnect.ClientSetup.msi“. Tento soubor se prezentuje jako běžný instalační program systému Windows, ale ve skutečnosti obsahuje trojskou verzi ScreenConnect.

Trojanizovaný software pro vzdálený přístup představuje vážná rizika

ScreenConnect je legitimní software pro vzdálenou plochu vyvinutý společností ConnectWise a běžně používaný odborníky IT podpory pro vzdálenou pomoc a správu systémů. Kyberzločinci však tyto nástroje často zneužívají k jejich úpravám a distribuci zbraní schopných poskytnout neoprávněný vzdálený přístup k zařízením obětí.

Jakmile je škodlivý instalační program spuštěn, může nástroj pro vzdálený přístup tiše fungovat na pozadí, aniž by přitahoval pozornost. Útočníci pak mohou získat rozsáhlou kontrolu nad napadeným systémem a provádět širokou škálu škodlivých aktivit, včetně:

• Krádež důvěrných souborů a uložených přihlašovacích údajů
• Monitorování aktivity uživatelů a shromažďování citlivých informací
• Instalace dalšího malwaru, jako je ransomware nebo spyware
• Provádění podvodných transakcí nebo zneužívání online účtů

Protože malware poskytuje trvalý vzdálený přístup, měly by být postižené systémy považovány za plně napadené.

Jak kampaně Malspam šíří malware

Spamové kampaně často šíří malware buď prostřednictvím škodlivých příloh, nebo prostřednictvím odkazů vedoucích na škodlivé webové stránky. V mnoha případech jsou soubory maskovány jako faktury, účtenky, dodací doklady nebo výpisy z účtu, aby povzbudily příjemce k jejich otevření bez podezření.

V této kampani se útočníci spoléhají na škodlivý odkaz spíše než na přímou přílohu. Příjemci, kteří odkaz sledují, jsou přesměrováni na falešný objednávkový portál, kde jsou manipulováni ke stažení infikovaného instalačního souboru. Po spuštění malware zřídí možnosti vzdáleného přístupu, přičemž pro oběť zůstává do značné míry neviditelný.

Tato metoda umožňuje útočníkům obejít některé bezpečnostní filtry e-mailů, protože škodlivé datové zatížení je hostováno externě, a není přímo připojeno k e-mailu.

Okamžité kroky pro dotčené uživatele

Každý, kdo si stáhl nebo spustil instalační soubor „ScreenConnect.ClientSetup.msi“, by měl předpokládat, že k systému již mohlo dojít k neoprávněnému přístupu. Důrazně se doporučuje okamžitý zásah, aby se minimalizovalo potenciální poškození.

Je třeba neprodleně provést kompletní antivirovou nebo antimalwarovou kontrolu a všechna citlivá hesla spojená s postiženým zařízením by měla být změněna ze samostatného, zabezpečeného systému. Finanční účty, e-mailové účty a firemní přihlašovací údaje by měly být také monitorovány z hlediska podezřelé aktivity.

Samotný škodlivý e-mail by měl být okamžitě smazán a příjemci by se měli vyvarovat klikání na žádné odkazy ani stahování souborů spojených se zprávou.

Ochrana před podvody souvisejícími s doručováním

Phishingové a malwarové kampaně zaměřené na doručování jsou i nadále vysoce účinné, protože zneužívají běžné online nákupní návyky a očekávání aktualizací zásilek. Útočníci se spoléhají na to, že příjemci zareagují rychle a pečlivě vyhodnotí legitimitu zprávy.

Uživatelé mohou snížit vystavení těmto hrozbám tím, že si ověřují oznámení o zásilkách přímo prostřednictvím oficiálních webových stránek prodejců nebo kurýrních služeb, vyhýbají se stahování z nevyžádaných e-mailů a k neočekávaným upozorněním na doručení přistupují skepticky. I e-maily, které vypadají uhlazeně a profesionálně, mohou pod přesvědčivým brandingem a naléhavým jazykem skrývat vážná bezpečnostní rizika.