Sociālās apdrošināšanas administrācijas e-izraksts ir pieejams, e-pasta krāpniecība

Kibernoziedznieki bieži izmanto pārliecinošas e-pasta kampaņas, lai maldinātu adresātus atvērt ļaunprātīgus failus, atklāt sensitīvu informāciju vai instalēt ļaunprogrammatūru. Šī iemesla dēļ ir svarīgi ievērot piesardzību, kad pienāk negaidīts e-pasts, īpaši, ja tajā apgalvots, ka tajā ir svarīgi dokumenti vai steidzami paziņojumi. E-pasti ar paziņojumu “Sociālās apdrošināšanas administrācijas e-izraksts ir pieejams” ir spilgts šīs taktikas piemērs. Šie ziņojumi ir krāpnieciski un nav saistīti ar likumīgiem uzņēmumiem, organizācijām, valdības aģentūrām vai struktūrām. To vienīgais mērķis ir inficēt upuru ierīces un nodrošināt uzbrucējiem nesankcionētu piekļuvi.

Tuvāk aplūkotā krāpšana

E-pastu “Sociālās apdrošināšanas administrācijas e-izraksts ir pieejams” analīze ir atklājusi, ka tie ir daļa no ļaunprātīgas surogātpasta kampaņas, kuras mērķis ir izlikties par Sociālās apdrošināšanas administrāciju (SSA). E-pastos saņēmēji tiek maldinoši informēti, ka viņu 2026. gada sociālās apdrošināšanas izraksts ir pieejams lejupielādei.

Lai ziņojums izskatītos autentisks, krāpnieki iekļauj tādu informāciju kā atsauces ID, datumu un labi redzamā vietā novietotu pogu “Lejupielādēt e-izrakstu”. Šie elementi ir paredzēti, lai radītu leģitimitātes sajūtu un mudinātu saņēmējus uzticēties e-pastam. Tomēr īstā Sociālās apdrošināšanas administrācija nekādā veidā nav iesaistīta šajos ziņojumos.

Kampaņas mērķis ir pievilināt adresātus noklikšķināt uz norādītās pogas, kas uzsāk nākamo uzbrukuma posmu.

Viltus verifikācijas portāls

Saņēmēji, kas noklikšķina uz lejupielādes pogas, tiek novirzīti uz krāpniecisku vietni, kas rūpīgi izstrādāta, lai atgādinātu oficiālu SSA lapu. Pēc ierašanās apmeklētājiem tiek parādīts ziņojums “Nepieciešama identitātes pārbaude” un norādījumi mijiedarboties ar slīdni, lai sāktu dokumenta lejupielādes procesu.

Tā vietā, lai sniegtu sociālās apdrošināšanas izrakstu, vietne automātiski piegādā apmeklētāja ierīcē failu ar nosaukumu “ScreenConnect.ClientSetup.msi”. Vietnē tiek parādīts arī paziņojums, kurā apgalvots, ka dokumentiem var piekļūt tikai no Windows datoriem. Šis ierobežojums ir apzināts, jo tas palīdz uzbrucējiem mērķēt uz Windows lietotājiem un palielina iespējamību, ka ļaunprātīgais instalētājs darbosies pareizi.

Verifikācijas procesam nav likumīga mērķa, un tā vienīgais mērķis ir radīt iespaidu, ka lejupielāde ir uzticama.

Kā darbojas ļaunprātīgais instalētājs

Lejupielādētajā failā ir modificēta ScreenConnect versija, kas pazīstama arī kā ConnectWise Control. Normālos apstākļos ScreenConnect ir likumīgs attālās darbvirsmas un atbalsta rīks, ko plaši izmanto IT speciālisti un organizācijas.

Tomēr šajā kampaņā programmatūra ir mainīta un konfigurēta tā, lai nemanāmi izveidotu savienojumu ar uzbrucēju kontrolētajiem serveriem. Pēc instalēšanas un palaišanas trojānizētā lietojumprogramma piešķir apdraudējumu dalībniekiem neuzraudzītu attālo piekļuvi apdraudētajai sistēmai.

Šis piekļuves līmenis ļauj uzbrucējiem veikt plašu ļaunprātīgu darbību klāstu bez upura ziņas.

Attālinātas sistēmas kompromitēšanas briesmas

Kad uzbrucēji iegūst attālo piekļuvi, izmantojot ļaunprātīgu programmatūru, sekas var būt nopietnas. Viņi var:

• Uzraugiet upura darbības un skatiet visu, kas tiek parādīts ekrānā.
• Zagt dokumentus, pieteikšanās akreditācijas datus, bankas informāciju un citus sensitīvus datus.
• Instalējiet papildu ļaunprogrammatūru, tostarp izspiedējvīrusus, spiegprogrammatūru vai informācijas zādzības draudus.
• Manipulēt failus un sistēmas iestatījumus.
• Veikt neatļautas finanšu transakcijas vai ļaunprātīgi izmantot apdraudētus tiešsaistes kontus.

Jebkurš dators, kurā ir palaists ļaunprātīgais ScreenConnect instalētājs, jāuzskata par pilnībā apdraudētu. Lai ierobežotu apdraudējumu un novērstu turpmākus bojājumus, ir nepieciešami tūlītēji incidentu reaģēšanas pasākumi.

Kā surogātpasta e-pasti piegādā ļaunprogrammatūru

Kampaņa “Sociālās apdrošināšanas administrācijas e-izraksts ir pieejams” demonstrē kibernoziedznieku izmantotu izplatītu ļaunprogrammatūras izplatīšanas stratēģiju. Ļaunprātīgi surogātpasta e-pasti parasti izplata ļaunprogrammatūru, izmantojot pielikumus vai iegultas saites.

Pielikumi var tikt piegādāti dažādos formātos, tostarp Microsoft Office dokumentos, PDF failos, ZIP arhīvos, izpildāmos failos un skriptos. Dažas ļaunprogrammatūras infekcijas sākas, tiklīdz fails tiek atvērts, savukārt citām ir nepieciešams, lai adresāti iespējotu makro vai veiktu papildu darbības.

Līdzīgi, ļaunprātīgas saites bieži vien novirza lietotājus uz tīmekļa vietnēm, kas maskējas kā droši dokumentu portāli, verifikācijas pakalpojumi vai lejupielādes lapas. Šīs vietnes ir izstrādātas, lai pārliecinātu apmeklētājus lejupielādēt un palaist kaitīgus failus. Dažos gadījumos lejupielāde sākas automātiski, savukārt citos tiek izmantotas sociālās inženierijas metodes, lai pārliecinātu upurus pašiem palaist ļaunprogrammatūru.

Brīdinājuma zīmju atpazīšana

Šāda veida krāpniecību var palīdzēt identificēt vairākas pazīmes:

• Negaidīti e-pasti, kuros apgalvots, ka svarīgi valdības, finanšu vai juridiskie dokumenti ir pieejami tūlītējai lejupielādei.

• Ziņojumi, kas rada steidzamību vai mudina uz ātru rīcību bez neatkarīgas pārbaudes.

• Saites, kas ved uz verifikācijas lapām, pirms tiek piešķirta piekļuve paredzētajam dokumentam.

• Pieprasījumi lejupielādēt programmatūru, lai skatītu dokumentus vai pabeigtu verifikācijas procedūras.

• Neparasti ierobežojumi, piemēram, apgalvojumi, ka saturam var piekļūt tikai no noteiktām operētājsistēmām vai ierīcēm.

Šo indikatoru atpazīšana var palīdzēt novērst nejaušu pakļaušanu ļaunprogrammatūrai un citiem kiberdraudiem.

Galīgais novērtējums

E-pasta kampaņa “Sociālās apdrošināšanas administrācijas e-izraksts ir pieejams” ir bīstama ļaunprogrammatūras izplatīšanas shēma, kas uzdodas par Sociālās apdrošināšanas administrāciju, lai iegūtu upuru uzticību. Tā vietā, lai sniegtu gada pārskatu, krāpniecība novirza adresātus uz viltotu verifikācijas portālu, kas lejupielādē ar trojāniem inficētu ScreenConnect instalētāju.

Kad ļaunprogrammatūra ir palaista, tā piešķir uzbrucējiem attālinātu piekļuvi skartajai sistēmai, kas var izraisīt datu zādzības, konta apdraudēšanu, finansiālus zaudējumus un papildu ļaunprogrammatūras infekcijas. Saņēmējiem, kas saskaras ar šiem e-pastiem, tie nekavējoties jāizdzēš un jāizvairās no noklikšķināšanas uz saitēm vai ziņojumā ietverto failu lejupielādes.