Zlonamjerni softver za e-poštu s poreznim dokumentima IRS-a

Ostanak opreznim pri rješavanju neočekivanih e-poruka ključan je. Kibernetički kriminalci često prikrivaju zlonamjerne poruke kao službene komunikacije pouzdanih institucija kako bi ukrali podatke ili zarazili uređaje. Takozvana kampanja e-pošte s poreznim dokumentima IRS-a jedan je od takvih primjera. Ove poruke nisu povezane ni s jednom legitimnom tvrtkom, organizacijom, vladinom agencijom ili pravom Poreznom upravom (IRS).

Što je prijevara sa zlonamjernim softverom za porezne dokumente IRS-a?

E-poruke s poreznim dokumentima IRS-a oblik su neželjene pošte, neželjenih poruka stvorenih posebno za distribuciju zlonamjernog softvera. One se lažno predstavljaju kao IRS i lažno obavještavaju primatelje da su službeni porezni dokumenti za poreznu godinu 2025 dostupni za sigurno preuzimanje.

Kako bi stvorili lažni osjećaj legitimnosti, e-poruke često počinju s "Poštovani porezni obveznici" i uključuju detalje poput stvarnog telefonskog broja Porezne uprave i poštanske adrese u Washingtonu, DC. Također sadrže istaknuti gumb Preuzmi siguran preglednik i tvrde da su dokumenti šifrirani i da je za otvaranje potreban poseban preglednik.

Ove tvrdnje su lažne i namijenjene su prevari primatelje da kliknu na pruženu poveznicu.

Kako funkcionira lanac infekcije

Klikom na gumb korisnici se preusmjeravaju na web-stranicu treće strane dizajniranu da nalikuje službenoj stranici za preuzimanje Adobe Acrobata. Stranica može tvrditi da Adobe Reader nedostaje ili je zastario te da je potrebno ažuriranje prije nego što se porezne datoteke mogu pregledati.

Zatim se preuzima datoteka pod nazivom 'Adobe_Install.msi'. Unatoč svom imenu, ovaj instalacijski program nema legitimnu vezu s Adobeom.

Prilikom izvršavanja, datoteka ne instalira Adobe softver. Umjesto toga, tiho implementira TiFlux, autentičnu platformu za udaljenu radnu površinu i IT upravljanje koju je razvila brazilska tvrtka. Međutim, u ovoj kampanji softver se zloupotrebljava kao zlonamjerni alat za udaljeni pristup. Postoji i mogućnost da je distribuirana verzija izmijenjena kako bi uključila dodatne štetne mogućnosti.

Nakon instalacije, program se može registrirati u sustavu Windows kao Ti Service And Agent pod imenom izdavača TiFLUX, dok tiho radi u pozadini.

Zašto je ovaj zlonamjerni softver opasan

Nakon što napadači dobiju udaljeni pristup kompromitiranom sustavu, mogu pratiti aktivnosti, manipulirati datotekama i instalirati dodatne prijetnje. Uspješna kompromitacija može otkriti i osobne i financijske podatke.

Moguće posljedice uključuju:

• Krađa dokumenata, lozinki, podataka preglednika ili bankovnih podataka
• Instalacija dodatnog zlonamjernog softvera, kao što su ransomware, špijunski softver ili kradljivci vjerodajnica

• Neovlaštena upotreba računala za kriminalne aktivnosti

• Dugotrajni nadzor ili prisutnost na zaraženom uređaju

Svatko tko je pokrenuo instalacijski program trebao bi pretpostaviti da je sustav možda kompromitiran.

Što učiniti ako je datoteka otvorena

Ako je preuzeti instalacijski program pokrenut, ključno je odmah reagirati. Isključivanje uređaja s interneta može ograničiti daljnje aktivnosti napadača dok se provode sigurnosne provjere.

Preporučeni koraci uključuju pokretanje potpunog antivirusnog ili sigurnosnog skeniranja krajnjih točaka, uklanjanje sumnjivog softvera, promjenu lozinki s čistog uređaja, pregled bankovnih i e-mail računa radi neovlaštenih aktivnosti i traženje stručne pomoći za odgovor na incidente ako su osjetljivi podaci bili izloženi.

Kako neželjene e-poruke obično šire zlonamjerni softver

Kibernetički kriminalci oslanjaju se na dvije glavne metode isporuke u kampanjama neželjene pošte:

Zlonamjerni privitci kao što su izvršne datoteke, Office dokumenti, ZIP arhive, PDF-ovi, ISO slike ili skripte. Neki odmah zaraze sustave, dok drugi zahtijevaju od korisnika da omoguće makroe ili pokrenu ugrađeni sadržaj.

Ugrađene poveznice koje preusmjeravaju žrtve na lažne stranice s softverom, krivotvorene portale ili obmanjujuće web-mjesta za dijeljenje datoteka gdje se zlonamjerni softver preuzima ručno ili automatski.

Kako prepoznati slične prijevare

Neočekivane porezne obavijesti, hitni financijski zahtjevi, zahtjevi za instaliranje preglednika ili ažuriranja, generički pozdravi, sumnjive poveznice i neželjene priloge treba tretirati s oprezom. Vladine agencije obično ne šalju iznenadne instalacijske programe putem neželjenih e-mail kampanja.

Završna procjena

E-poruke s poreznim dokumentima IRS-a su prijevara distribucije zlonamjernog softvera koja zloupotrebljava ime IRS-a kako bi obmanula primatelje. Žrtve se preusmjeravaju na lažnu Adobe stranicu za preuzimanje gdje prikriveni instalacijski program instalira softver za daljinski pristup koji može predati kontrolu nad sustavom napadačima. Ove e-poruke treba odmah izbrisati i ne smiju se otvarati nikakve poveznice ili privitci.