Oszustwo e-mailowe z wyciągiem elektronicznym z Administracji Ubezpieczeń Społecznych

Cyberprzestępcy często stosują przekonujące kampanie e-mailowe, aby nakłonić odbiorców do otwarcia złośliwych plików, ujawnienia poufnych informacji lub zainstalowania złośliwego oprogramowania. Z tego powodu należy zachować ostrożność w przypadku otrzymania nieoczekiwanego e-maila, zwłaszcza gdy rzekomo zawiera on ważne dokumenty lub pilne powiadomienia. E-maile z informacją „Wyciąg elektroniczny z Administracji Ubezpieczeń Społecznych jest dostępny” są doskonałym przykładem tej taktyki. Wiadomości te są fałszywe i nie są powiązane z żadnymi legalnymi firmami, organizacjami, agencjami rządowymi ani podmiotami. Ich jedynym celem jest zainfekowanie urządzeń ofiar i zapewnienie atakującym nieautoryzowanego dostępu.

Przyjrzyjmy się bliżej oszustwu

Analiza wiadomości e-mail z informacją „Wyciąg elektroniczny z Administracji Ubezpieczeń Społecznych jest dostępny” ujawniła, że stanowią one część złośliwej kampanii spamowej, której celem jest podszywanie się pod Administrację Ubezpieczeń Społecznych (SSA). Wiadomości e-mail fałszywie informują odbiorców, że ich wyciąg z Administracji Ubezpieczeń Społecznych za rok 2026 jest dostępny do pobrania.

Aby wiadomość wydawała się autentyczna, oszuści dodają do niej takie dane, jak identyfikator referencyjny, datę oraz widoczny przycisk „Pobierz e-wyciąg”. Elementy te mają na celu stworzenie wrażenia autentyczności i zachęcenie odbiorców do zaufania e-mailowi. Jednak prawdziwy Urząd Ubezpieczeń Społecznych nie ma żadnego związku z tymi wiadomościami.

Celem kampanii jest nakłonienie odbiorców do kliknięcia podanego przycisku, co rozpocznie kolejny etap ataku.

Fałszywy portal weryfikacyjny

Odbiorcy, którzy klikną przycisk pobierania, zostaną przekierowani na fałszywą stronę internetową, starannie zaprojektowaną tak, aby przypominała oficjalną stronę SSA. Po wejściu na stronę odwiedzającym wyświetli się komunikat „Wymagana weryfikacja tożsamości” i zostanie poproszony o kliknięcie suwaka, aby rozpocząć proces pobierania dokumentu.

Zamiast podania numeru ubezpieczenia społecznego, strona automatycznie przesyła na urządzenie odwiedzającego plik o nazwie „ScreenConnect.ClientSetup.msi”. Strona wyświetla również komunikat informujący, że dostęp do dokumentów jest możliwy tylko z komputerów z systemem Windows. To ograniczenie jest celowe, ponieważ ułatwia atakującym atakowanie użytkowników systemu Windows i zwiększa prawdopodobieństwo, że złośliwy instalator będzie działał poprawnie.

Proces weryfikacji nie ma żadnego uzasadnionego celu i służy wyłącznie temu, aby pobranie wydawało się wiarygodne.

Jak działa złośliwy instalator

Pobrany plik zawiera zmodyfikowaną wersję ScreenConnect, znanego również jako ConnectWise Control. W normalnych warunkach ScreenConnect jest legalnym narzędziem do zdalnego pulpitu i wsparcia, szeroko stosowanym przez specjalistów IT i organizacje.

W tej kampanii oprogramowanie zostało jednak zmodyfikowane i skonfigurowane tak, aby w sposób dyskretny nawiązywać połączenie z serwerami kontrolowanymi przez atakujących. Po zainstalowaniu i uruchomieniu, zainfekowana aplikacja umożliwia atakującym nienadzorowany zdalny dostęp do zainfekowanego systemu.

Ten poziom dostępu pozwala atakującym na wykonywanie szerokiej gamy złośliwych działań bez wiedzy ofiary.

Niebezpieczeństwa związane ze zdalnym naruszeniem systemu

Gdy atakujący uzyskają zdalny dostęp za pośrednictwem złośliwego oprogramowania, konsekwencje mogą być poważne. Mogą oni:

• Monitoruj działania ofiary i oglądaj wszystko, co wyświetla się na ekranie.
• Kradzież dokumentów, danych logowania, informacji bankowych i innych poufnych danych.
• Zainstaluj dodatkowe złośliwe oprogramowanie, w tym oprogramowanie wymuszające okup, oprogramowanie szpiegujące i oprogramowanie kradnące informacje.
• Manipuluj plikami i ustawieniami systemowymi.
• Dokonywanie nieautoryzowanych transakcji finansowych lub nadużywanie zagrożonych kont internetowych.

Każdy komputer, na którym uruchomiono złośliwego instalatora ScreenConnect, należy uznać za w pełni zainfekowany. Konieczne jest natychmiastowe podjęcie działań w odpowiedzi na incydent, aby powstrzymać zagrożenie i zapobiec dalszym szkodom.

Jak wiadomości spamowe dostarczają złośliwe oprogramowanie

Kampania „Wyciąg elektroniczny z Administracji Ubezpieczeń Społecznych jest dostępny” pokazuje powszechną strategię dystrybucji złośliwego oprogramowania stosowaną przez cyberprzestępców. Złośliwe wiadomości e-mail ze spamem zazwyczaj rozprzestrzeniają złośliwe oprogramowanie za pośrednictwem załączników lub osadzonych linków.

Załączniki mogą być dostarczane w różnych formatach, w tym w dokumentach Microsoft Office, plikach PDF, archiwach ZIP, plikach wykonywalnych i skryptach. Niektóre infekcje złośliwym oprogramowaniem rozpoczynają się już w momencie otwarcia pliku, podczas gdy inne wymagają od odbiorców włączenia makr lub wykonania dodatkowych czynności.

Podobnie, złośliwe linki często kierują użytkowników do stron internetowych podszywających się pod bezpieczne portale z dokumentami, usługi weryfikacyjne lub strony pobierania. Strony te mają na celu nakłonienie odwiedzających do pobrania i uruchomienia szkodliwych plików. W niektórych przypadkach pobieranie rozpoczyna się automatycznie, podczas gdy w innych ofiary są nakłaniane do samodzielnego uruchomienia złośliwego oprogramowania za pomocą technik socjotechnicznych.

Rozpoznawanie znaków ostrzegawczych

Istnieje kilka cech, które mogą pomóc w identyfikacji oszustw tego typu:

• Nieoczekiwane wiadomości e-mail, w których twierdzono, że ważne dokumenty rządowe, finansowe lub prawne są dostępne do natychmiastowego pobrania.

• Wiadomości tworzące poczucie pilności lub zachęcające do szybkiego działania bez niezależnej weryfikacji.

• Linki prowadzące do stron weryfikacyjnych przed udzieleniem dostępu do domniemanego dokumentu.

• Prośby o pobranie oprogramowania w celu przeglądania dokumentów lub wykonania procedur weryfikacyjnych.

• Nietypowe ograniczenia, na przykład twierdzenia, że dostęp do treści jest możliwy tylko z określonych systemów operacyjnych lub urządzeń.

Rozpoznanie tych wskaźników może pomóc zapobiec przypadkowemu narażeniu na złośliwe oprogramowanie i inne zagrożenia cybernetyczne.

Ocena końcowa

Kampania e-mailowa „Wyciąg elektroniczny z Administracji Ubezpieczeń Społecznych jest dostępny” to niebezpieczny schemat dystrybucji złośliwego oprogramowania, podszywający się pod Administrację Ubezpieczeń Społecznych, aby zdobyć zaufanie ofiar. Zamiast dostarczać roczne zestawienie, oszustwo przekierowuje odbiorców do fałszywego portalu weryfikacyjnego, który pobiera zainfekowanego instalatora ScreenConnect.

Po uruchomieniu złośliwe oprogramowanie umożliwia atakującym zdalny dostęp do zainfekowanego systemu, co może prowadzić do kradzieży danych, włamania na konto, strat finansowych i dodatkowych infekcji złośliwym oprogramowaniem. Odbiorcy, którzy otrzymają te wiadomości e-mail, powinni je natychmiast usunąć i unikać klikania w linki lub pobierania plików zawartych w wiadomości.