Sosiaaliturvaviranomaisen sähköinen tiliote on saatavilla - sähköpostihuijaus

Kyberrikolliset käyttävät usein vakuuttavia sähköpostikampanjoita huijatakseen vastaanottajia avaamaan haitallisia tiedostoja, paljastamaan arkaluonteisia tietoja tai asentamaan haittaohjelmia. Tästä syystä on tärkeää pysyä varovaisena aina, kun odottamaton sähköposti saapuu, varsinkin jos sen väitetään sisältävän tärkeitä asiakirjoja tai kiireellisiä ilmoituksia. ”Social Security Administration eStatement Is Available” -sähköpostit ovat erinomainen esimerkki tästä taktiikasta. Nämä viestit ovat vilpillisiä, eivätkä ne liity mihinkään laillisiin yrityksiin, organisaatioihin, valtion virastoihin tai yhteisöihin. Niiden ainoa tarkoitus on tartuttaa uhrien laitteet ja antaa hyökkääjille luvaton pääsy niihin.

Lähempi katsaus huijaukseen

”Social Security Administration eStatement Is Available” -sähköpostien analyysi on paljastanut, että ne ovat osa haitallista roskapostikampanjaa, jonka tarkoituksena on tekeytyä sosiaaliturvaviranomaiseksi (SSA). Sähköpostit ilmoittavat vastaanottajille virheellisesti, että heidän vuoden 2026 sosiaaliturvaote on ladattavissa.

Jotta viesti näyttäisi aidolta, huijarit lisäävät siihen tietoja, kuten viitenumeron, päivämäärän ja näkyvästi esillä olevan "Lataa sähköinen tiliote" -painikkeen. Näiden elementtien tarkoituksena on luoda aitouden tunne ja rohkaista vastaanottajia luottamaan sähköpostiin. Varsinaisella sosiaaliturvaviranomaisella ei kuitenkaan ole mitään tekemistä näiden viestien kanssa.

Kampanjan tavoitteena on houkutella vastaanottajia napsauttamaan annettua painiketta, mikä käynnistää hyökkäyksen seuraavan vaiheen.

Väärennösten vahvistusportaali

Latauspainiketta napsauttavat vastaanottajat ohjataan huijaussivustolle, joka on huolellisesti suunniteltu muistuttamaan virallista SSA:n sivua. Saapuessaan vierailijoille näytetään viesti ”Henkilöllisyyden varmennus vaaditaan” ja heitä pyydetään toimimaan liukusäätimen avulla aloittaakseen asiakirjan latausprosessin.

Sosiaaliturvatunnuksen näyttämisen sijaan verkkosivusto toimittaa automaattisesti tiedoston nimeltä 'ScreenConnect.ClientSetup.msi' kävijän laitteelle. Sivusto näyttää myös ilmoituksen, jossa väitetään, että asiakirjoihin pääsee käsiksi vain Windows-pohjaisten tietokoneiden kautta. Tämä rajoitus on tarkoituksellinen, koska se auttaa hyökkääjiä kohdistamaan hyökkäyksensä Windows-käyttäjiin ja lisää todennäköisyyttä, että haitallinen asennusohjelma toimii oikein.

Vahvistusprosessilla ei ole laillista tarkoitusta, ja sen ainoa tarkoitus on saada lataus vaikuttamaan luotettavalta.

Miten haittaohjelmien asennusohjelma toimii

Ladattu tiedosto sisältää muokatun version ScreenConnectista, joka tunnetaan myös nimellä ConnectWise Control. Normaalioloissa ScreenConnect on laillinen etätyöpöytä- ja tukityökalu, jota IT-ammattilaiset ja organisaatiot käyttävät laajalti.

Tässä kampanjassa ohjelmistoa on kuitenkin muutettu ja konfiguroitu muodostamaan hiljaa yhteys hyökkääjien hallitsemiin palvelimiin. Asennuksen ja suorituksen jälkeen troijalainen sovellus antaa uhkatoimijoille valvomattoman etäkäytön vaarantuneeseen järjestelmään.

Tämä käyttöoikeustaso antaa hyökkääjille mahdollisuuden suorittaa monenlaisia haitallisia toimia uhrin tietämättä.

Etäjärjestelmän vaarantumisen vaarat

Kun hyökkääjät saavat etäyhteyden haittaohjelmien avulla, seuraukset voivat olla vakavia. He voivat mahdollisesti:

• Tarkkaile uhrin toimia ja katso kaikkea näytöllä näkyvää.
• Varastaa asiakirjoja, kirjautumistietoja, pankkitietoja ja muita arkaluonteisia tietoja.
• Asenna lisää haittaohjelmia, kuten kiristysohjelmia, vakoiluohjelmia tai tietoja varastavia uhkia.
• Tiedostojen ja järjestelmäasetusten muokkaaminen.
• Suorita luvattomia taloudellisia tapahtumia tai käytä väärin vaarantuneita verkkotilejä.

Kaikkia tietokoneita, joilla on suoritettu haitallinen ScreenConnect-asennusohjelma, tulisi pitää täysin vaarantuneina. Välittömät reagointitoimenpiteet ovat välttämättömiä uhan hillitsemiseksi ja lisävahinkojen estämiseksi.

Miten roskapostit toimittavat haittaohjelmia

”Sosiaaliturvaviranomaisen sähköinen tiliote on saatavilla” -kampanja esittelee kyberrikollisten käyttämää yleistä haittaohjelmien levitysstrategiaa. Haitalliset roskapostit levittävät haittaohjelmia yleensä liitteiden tai upotettujen linkkien kautta.

Liitteet voivat saapua eri muodoissa, kuten Microsoft Office -asiakirjoina, PDF-tiedostoina, ZIP-arkistoina, suoritettavina tiedostoina ja komentosarjoina. Jotkin haittaohjelmatartunnat alkavat heti tiedoston avaamisen jälkeen, kun taas toiset vaativat vastaanottajilta makrojen ottamista käyttöön tai lisätoimien suorittamista.

Samoin haitalliset linkit ohjaavat käyttäjät usein verkkosivustoille, jotka on naamioitu turvallisiksi asiakirjaportaaleiksi, vahvistuspalveluiksi tai lataussivuiksi. Nämä sivustot on suunniteltu houkuttelemaan kävijöitä lataamaan ja suorittamaan haitallisia tiedostoja. Joissakin tapauksissa lataukset alkavat automaattisesti, kun taas toisissa käytetään sosiaalisen manipuloinnin tekniikoita, joilla uhrit suostutellaan käynnistämään haittaohjelma itse.

Varoitusmerkkien tunnistaminen

Useat ominaisuudet voivat auttaa tunnistamaan tällaiset huijaukset:

• Odottamattomat sähköpostit, joissa väitetään, että tärkeitä hallinnollisia, taloudellisia tai oikeudellisia asiakirjoja on ladattavissa välittömästi.

• Kiireellisyyttä luovat tai nopeaa toimintaa ilman riippumatonta vahvistusta kannustavat viestit.

• Linkit, jotka johtavat vahvistussivuille ennen kuin oletettuun asiakirjaan myönnetään pääsy.

• Pyynnöt ohjelmiston lataamiseksi asiakirjojen tarkastelemiseksi tai vahvistusmenettelyjen suorittamiseksi.

• Epätavalliset rajoitukset, kuten väitteet, että sisältöön pääsee käsiksi vain tietyistä käyttöjärjestelmistä tai laitteista.

Näiden merkkien tunnistaminen voi auttaa estämään tahattoman altistumisen haittaohjelmille ja muille kyberuhille.

Loppuarviointi

”Social Security Administration eStatement Is Available” -sähköpostikampanja on vaarallinen haittaohjelmien levitysjärjestelmä, joka tekeytyy sosiaaliturvaviranomaiseksi uhrien luottamuksen saamiseksi. Vuosittaisen tiliotteen tarjoamisen sijaan huijaus ohjaa vastaanottajat väärennettyyn vahvistusportaaliin, joka lataa troijalaisen saastuneen ScreenConnect-asennusohjelman.

Kun haittaohjelma on suoritettu, se antaa hyökkääjille etäyhteyden tartunnan saaneeseen järjestelmään, mikä voi johtaa tietovarkauksiin, tilin vaarantumiseen, taloudellisiin tappioihin ja uusiin haittaohjelmatartuntoihin. Näitä sähköposteja näkevien vastaanottajien tulisi poistaa ne välittömästi ja välttää viestissä olevien linkkien napsauttamista tai tiedostojen lataamista.