Google выявил тактики трёх российских хакерских группировок, которые атакуют личные аккаунты чиновников, дипломатов, учёных и работников оборонной сферы в США и Европе. Группы под идентификаторами UNC6293, UNC7005 и UNC5976 обходят защиту через социальную инженерию и злоупотребление легитимными функциями аутентификации.
Как работают новые схемы
Атаки разбиты на несколько этапов с использованием различных приложений. Вместо классических фишинговых страниц хакеры манипулируют реальными процессами авторизации, поэтому их сложнее обнаружить.
➡️ ИИ и зашифрованные сообщения. Группировка наносит удары по правительственному и оборонному секторам, академическим кругам и аналитическим центрам. Основной вектор — фишинг через код устройства Microsoft и перехват сессий WhatsApp с последующей загрузкой малвари. Жертву заставляют подключить WhatsApp к устройству злоумышленников, а через фейковые звонки тайно записывают аудио и видео. По данным Google, UNC7005 использует малварь-как-сервис (MaaS) и большие языковые модели (LLM) для генерации инструментов под конкретные цели.
➡️ Кража OAuth-токенов через фейковые страницы. Целевая аудитория — сотрудники аэрокосмической, оборонной и правительственной сфер в Европе и США. Группа крадёт OAuth-токены через фейковые страницы файлообменников и вредоносные проекты в Google Cloud. Жертва проходит легитимный вход через Google OAuth, после чего скрипты перехватывают токены аутентификации. Google уже заблокировал как минимум 12 доменов этой группировки, заставив их переносить инфраструктуру на другие платформы.
➡️ Поддельные дипломаты и злоупотребление аутентификацией. Фокус группы — дипломаты, учёные и некоммерческие организации в Украине, Западной Европе и США. Хакеры выдают себя за сотрудников Госдепартамента США и заставляют жертв генерировать пароли приложений для обхода двухфакторной аутентификации (2FA). С недавнего времени они просят жертву пройти легитимный вход и передать им коды верификации OAuth для полного доступа к аккаунту.
Как распознать и защититься
Google рекомендует сотрудникам этих секторов игнорировать неожиданные сообщения, даже если отправитель выглядит как знакомый человек или официальная организация.
Проверяйте приглашения. Получили инвайт на событие — свяжитесь с организаторами напрямую, а не по контактам из самого приглашения.
Избегайте паролей приложений. Google советует не использовать их для подтверждения личности.
Отзывайте устаревшие пароли. Регулярно удаляйте пароли приложений, привязанные к утерянным или старым устройствам.
Используйте 2FA для мессенджеров. Включите двухфакторную аутентификацию и блокировку регистрации. Проверяйте список активных сессий и верифицируйте контакты через коды безопасности в другом канале связи.
Группировки постоянно меняют подходы, покупают коммерческую малварь и автоматизируют процессы через ИИ. Это позволяет им масштабировать атаки и скрываться от систем мониторинга. Подозреваемые российские хакеры злоупотребляют Google OAuth и связкой WhatsApp для похищения аккаунтов.
🖋 UAFF — будь в курсе арбитражных инсайтов