E-postbedrägeri från socialförsäkringsmyndigheten (Social Security Administration)

Cyberbrottslingar använder ofta övertygande e-postkampanjer för att lura mottagare att öppna skadliga filer, avslöja känslig information eller installera skadlig programvara. Av denna anledning är det viktigt att vara försiktig när ett oväntat e-postmeddelande anländer, särskilt när det påstår sig innehålla viktiga dokument eller brådskande meddelanden. E-postmeddelandena "Social Security Administration eStatement Is Available" är ett utmärkt exempel på denna taktik. Dessa meddelanden är bedrägliga och är inte kopplade till några legitima företag, organisationer, myndigheter eller enheter. Deras enda syfte är att infektera offrens enheter och ge angripare obehörig åtkomst.

En närmare titt på bluffen

Analys av e-postmeddelandena med texten "Social Security Administration eStatement Is Available" har avslöjat att de är en del av en skadlig spamkampanj som syftar till att utge sig för att vara Social Security Administration (SSA). E-postmeddelandena informerar felaktigt mottagarna om att deras socialförsäkringsutdrag för 2026 finns tillgängligt för nedladdning.

För att meddelandet ska se autentiskt ut inkluderar bedragarna detaljer som ett referens-ID, ett datum och en tydligt synlig knapp "Ladda ner e-utdrag". Dessa element är avsedda att skapa en känsla av legitimitet och uppmuntra mottagarna att lita på e-postmeddelandet. Den verkliga socialförsäkringsmyndigheten har dock ingen som helst inblandning i dessa meddelanden.

Målet med kampanjen är att locka mottagarna att klicka på den angivna knappen, vilket initierar nästa steg i attacken.

Den falska verifieringsportalen

Mottagare som klickar på nedladdningsknappen omdirigeras till en bedräglig webbplats som noggrant utformats för att likna en officiell SSA-sida. Vid ankomsten visas meddelandet "Identitetsverifiering krävs" och instrueras att använda en skjutreglage för att starta dokumentnedladdningsprocessen.

Istället för att tillhandahålla ett personnummerutdrag levererar webbplatsen automatiskt en fil med namnet "ScreenConnect.ClientSetup.msi" till besökarens enhet. Webbplatsen visar också ett meddelande som påstår att dokument endast kan nås via Windows-baserade datorer. Denna begränsning är avsiktlig, eftersom den hjälper angriparna att rikta in sig på Windows-användare och ökar sannolikheten för att det skadliga installationsprogrammet fungerar korrekt.

Verifieringsprocessen tjänar inget legitimt syfte och finns enbart för att få nedladdningen att verka trovärdig.

Hur den skadliga installationsfilen fungerar

Den nedladdade filen innehåller en modifierad version av ScreenConnect, även känd som ConnectWise Control. Under normala omständigheter är ScreenConnect ett legitimt fjärrskrivbords- och supportverktyg som används flitigt av IT-proffs och organisationer.

I den här kampanjen har dock programvaran ändrats och konfigurerats för att tyst upprätta en anslutning till servrar som kontrolleras av angriparna. När den trojanerade applikationen har installerats och körts ger den hotande aktörerna obevakad fjärråtkomst till det komprometterade systemet.

Denna åtkomstnivå gör det möjligt för angripare att utföra en mängd olika skadliga aktiviteter utan offrets vetskap.

Farorna med fjärrsystemkompromettering

När angripare får fjärråtkomst via skadlig programvara kan konsekvenserna bli allvarliga. De kan bland annat:

• Övervaka offrets aktiviteter och se allt som visas på skärmen.
• Stjäla dokument, inloggningsuppgifter, bankinformation och annan känslig information.
• Installera ytterligare skadlig programvara, inklusive ransomware, spionprogram eller hot som stjäl information.
• Manipulera filer och systeminställningar.
• Genomföra obehöriga finansiella transaktioner eller missbruka komprometterade onlinekonton.

Alla datorer där det skadliga installationsprogrammet ScreenConnect har körts bör betraktas som helt komprometterade. Omedelbara åtgärder vid incidenter är nödvändiga för att begränsa hotet och förhindra ytterligare skada.

Hur skräppostmejl levererar skadlig programvara

Kampanjen "Social Security Administration eStatement Is Available" visar en vanlig strategi för distribution av skadlig programvara som används av cyberbrottslingar. Skadliga skräppostmeddelanden sprider vanligtvis skadlig programvara via bilagor eller inbäddade länkar.

Bilagor kan anlända i olika format, inklusive Microsoft Office-dokument, PDF-filer, ZIP-arkiv, körbara filer och skript. Vissa skadliga programinfektioner börjar så snart filen öppnas, medan andra kräver att mottagarna aktiverar makron eller utför ytterligare åtgärder.

På liknande sätt leder skadliga länkar ofta användare till webbplatser förklädda till säkra dokumentportaler, verifieringstjänster eller nedladdningssidor. Dessa webbplatser är utformade för att övertala besökare att ladda ner och köra skadliga filer. I vissa fall börjar nedladdningarna automatiskt, medan i andra fall används social ingenjörskonst för att övertyga offren att själva starta skadlig programvara.

Att känna igen varningssignalerna

Flera egenskaper kan hjälpa till att identifiera bedrägerier av detta slag:

• Oväntade e-postmeddelanden som påstår att viktiga myndighets-, ekonomiska eller juridiska dokument är tillgängliga för omedelbar nedladdning.

• Meddelanden som skapar brådska eller uppmuntrar till snabba åtgärder utan oberoende verifiering.

• Länkar som leder till verifieringssidor innan åtkomst till det förmodade dokumentet beviljas.

• Begäran om att ladda ner programvara för att visa dokument eller slutföra verifieringsprocedurer.

• Ovanliga begränsningar, såsom påståenden om att innehåll endast kan nås från specifika operativsystem eller enheter.

Att känna igen dessa indikatorer kan bidra till att förhindra oavsiktlig exponering för skadlig programvara och andra cyberhot.

Slutbedömning

E-postkampanjen "Social Security Administration eStatement Is Available" är ett farligt system för distribution av skadlig kod som utger sig för att vara Social Security Administration för att vinna offrens förtroende. Istället för att tillhandahålla ett årsutdrag omdirigerar bedrägeriet mottagarna till en falsk verifieringsportal som laddar ner ett trojanskt ScreenConnect-installationsprogram.

När den skadliga programvaran har körts ger den angripare fjärråtkomst till det drabbade systemet, vilket potentiellt kan leda till datastöld, kontokompromettering, ekonomiska förluster och ytterligare skadlig kodinfektion. Mottagare som stöter på dessa e-postmeddelanden bör omedelbart radera dem och undvika att klicka på några länkar eller ladda ner några filer som finns i meddelandet.