モルドバは、Spear-Phishingキャンペーンの公共機関を警告します

Moldovaの国家のサイバーセキュリティ当局は、政府機関で四角形のスピアフィッシングキャンペーンで公的なアラートを発行し、@mail.ruアドレスから到着した悪意のあるメールと、通常の金融事務の名前の背後にある実行可能ファイルを隠すアーカイブを運びました。 2026年10月13日(火)に情報技術およびサイバーセキュリティサービス(STISC)が公表した警告は、オフィスの寿命の浪費リズムよりも技術的に洗練された操作が少ないと説明しています。請求書、支払い注文、および添付ファイルを開くための反射。

モルドバの枠を超えたキャンペーンはペイロード設計です。 マルウェアは、単に資格情報とリンジャーの &mdash を盗みません。STISC は、明らかな痕跡を離れることなく、独自の活動を終了することができ、成功した感染をブレークインよりもゴーストに近いものに変えることができます。 アドバイザリーは短く、具体的です。 悪意のあるメッセージは、@mail.ruドメインに関連付けられているメールアドレスの範囲から送信され、.7z または .zip 形式でアーカイブを運ぶ。 これらのアーカイブの中には、実行可能 .bat ファイルが格納され、財務部門の受信トレイに改称される: "Ordin de ayaplat" (支払い順) と "Facturi achitate" (支払い請求書) は、STISC が与える例である。

受信者が1つを開くと、ホストシステムが妥協し、認証データ、クッキー、およびアクティブなセッションに縛られた情報の不正収集を有効にできます。 最後のディテールは、一部セキュリティチームが下線すべきです。 セッション素材は、攻撃者のステップを過去のマルチファクター認証にすることで、&mdash をクラックしなくても、攻撃者のステップが過去のマルチファクター認証をすることができます。クッキーを盗んだり、記録されたセッションを継承したり、ログインプロンプトが表示されません。

STISC は、悪意のあるプログラムが明らかな手がかりを離れることなく、その作業を終了できるという状態も述べています。 アドバイザリーに公開アトリビューションがなく、特定の機関が正常に侵害されたと主張していません。

注意:STISCのアドバイザリーは、脅威のアクター、マルウェアの家族、または確認された犠牲者数を名前付けません。 キャンペーンをメソッドやターゲティングで確認したが、アトリビューションで確認されていない。

.batファイル全体がトリックである理由

バッチファイルは、Windows上で最も古い自動化ツールであり、その正確な理由のために、最も信頼できる1つです。 .bat スクリプトはプレーンテキストで、コマンドインタプリタを通してネイティブに実行され、コンパイラ、ランタイム、特権インストーラは必要ありません。 PowerShell を呼び出すと、リモートホスト、ダンプブラウザのデータに手を差し伸べ、途中で削除できます。 コマンドシェルを見ている2年を費やしたエンドポイントエージェントにエキゾチックなものは何もありません。

アーカイブラッパーは、2層の摩擦を加える。 メールゲートウェイは、圧縮されたファイルの内容を調べて、特に .7z よりも、ベアの実行可能な添付ファイルをフラグを立てることでかなり優れています。特に、.zip よりも古いスキャンパイプラインで処理されることはありません。 命名規則は、第3層を供給します:「事実立派」と呼ばれるファイルは、会計士が何を期待しているか正確にであり、期待はそこに最も効果的な社会工学ツールです。

そのため、キャンペーンは一般的なフィッシングではなくスピアフィッシングとして分類されます。 スピアフィッシングは、研究&mdashを意味します。 盗用可能な送信者、盗用可能な被写体、受取人の実際の仕事のための盗用可能な文書。 @mail.ru アドレスの選択は、アンパックする価値のある信号です: 自由で広く使用されているロシア語のメールプロバイダです。これにより、送信元アドレスは、そのような対応がルーチンである領域で不備に見えるようになり、オペレータに安くて使い捨てのインフラを与えます。

検出問題 STISC が指摘しています

アドバイザリーの最も不快な文章は、明らかな痕跡を残すことなく、その活動を終わらせるマルウェアの1つです。 セキュリティチームは、永続性&mdashの周りの検出を構築する傾向があります。スケジュールされたタスク、レジストリキー、再起動を生き残るサービス。 セッショントークンを収穫するインプラントは、それらを継承し、そのモデルを反転させます。 誰が見てみると、残ったことがない。

エンドポイントからアイデンティティレイヤーへの証拠の負担をシフトします。 クレデンシャル・窃盗が成功すると、証拠は認証ログに住んでいます。ディスク:異常なIPから発信されたセッション、クッキーが既に有効だったため、MFAをスキップしたログイン、午前中に3で作成されたメールボックスルール。 エンドポイントのみを監視する組織は何も表示されない。 メールテレメトリーでアイデンティティテレメトリーを関連付ける組織にはチャンスがあります。

重要: StolenセッションクッキーはMFAを完全にバイパスできます。 ユーザーがこれらのアーカイブの1つを開いたと疑った場合は、そのユーザーのアクティブなセッションを再開し、資格情報 &mdash を回転させます。単にパスワードをリセットし、問題が閉鎖されていると仮定しないでください。

STISC が推奨するもの

アドバイザリーは、公的機関、企業、市民などを対象とした実践的な勧告のセットを閉じています。 彼らは非華やかで、彼らは動作します:

• 疑わしいメッセージでリンクや添付ファイルにアクセスしないでください。
• 表示名がよく見つかる場合でも、送信者のアドレスを慎重にチェックしてください。
• パスワード、認証コード、および機密情報の保護。
• Treatメッセージは、注意を払って緊急または異常な行動を要求します。
• 情報セキュリティオフィサーに疑わしいメールを報告します。

全体として読み、リストは1つの行動について実際にあります。行動の前に検証します。 緊急節は最も重要です。 正式な決済注文は、通常、数分で測定された期限に到着せず、高速に動作する圧力は、社会工学の試みの1つの最も一貫したマーカーです。

報告ギャップは、誰が言っても

最終的な勧告 — セキュリティ役員に疑わしいメールを報告 — 最も頻繁にスキップされ、インシデントが小さいままかどうかを決定するものです。 従業員は、彼らが恥ずかしいので、彼らは他の誰かがすでにそれを報告したと仮定しているので、または彼らが実際に悪意があったことを確信していないので、しばしばサイレントにとどまります。

公的機関にとって、そのサイレンスは複合コストを持っています。 1つの感染したワークステーションは迷惑です。 同じアーカイブは3つのエージェンシーに送信され、成功した実行でさえも、政府のネットワークの足場を持つ侵入になります。 初期のレポートでは、潜在的な違反をブロックされたメールに変換し、送信者アドレスとファイルハッシュが埋め込まれる前に波の残りの部分をフィルタリングするために必要なセキュリティチームに与えます。

このキャンペーンは脅威の風景について言うこと

.bat ファイルを .zip の低グレードのトレードクラフトで解読するテンプテーションがあります。 その読書はポイントを逃します。 キャンペーンは、技術的な輝きを介して硬化したターゲットを倒すことを試みていません。それは、生活のためにインボイスを処理し、自分の心に他の30のものを持っている大規模な組織で1人を見つけようとしています。 安価なツーリングスケール、そしてそれは最も防御的なスタックがマンドワンよりも洗練された脅威のために調整されているので、正確に動作します。

地域コンテキストはこれをシャープにします。 モルドバの公共部門は、州に密着した犯罪活動や犯罪活動の再発目標をしたものであり、近年の国の機関はサイバーレジリエンスに大きく投資しています。 そのようなアドバイザリーは、警告システムが機能している兆候です — STISCはパターンを検出し、それを観察する日以内に公開しました。 これは、誰が気づく前に、この種のキャンペーンが何週間も実行する代替よりも健康な位置です。

外部のMoldovaからこれを読む組織にとって、転送可能なレッスンは簡単です。 デフォルトでは、インバウンド アーカイブを敵にし、ファイル名を信頼するのではなく、コンテンツを検査します。 セッションの盗難はそこに指紋を残しているので、認証イベントのログとアラート、単なる行動をエンドポイントするだけでなく、警告します。 疑わしいメールを摩擦のない、非難のない行動を報告する。 そして、クレデンシャルシフトのシナリオ&mdashへの応答を回復; セッションの呼び出し、クレデンシャルの回転、メールボックスのルールレビュー— あなたがそれを必要とする前に、この1が分単位で測定されるキャンペーンの実行と執行の間のウィンドウが分単位で測定されるため。

不快な真実は、STISC の警告が示しています。最も効果的な攻撃はほとんど攻撃のように見えません。 彼らは同僚からの支払い注文のように見えます, わずかに珍しいファイル形式で, 忙しい火曜日の午後. そのシナリオの劇的なバージョンのためにのみ構築された防衛は、通常の1を欠落させます。