Десятки компаний ФРГ стали жертвами TA547

Несколько десятков организаций Германии стали жертвами атак группировки TA547, которая крадет данные из ИТ-инфраструктур, используя инфостилер Rhadamanthys. ИБ-специалисты Proofpoint подозревают, что хакеры применяют технологии искусственного интеллекта. 

Эксперты Proofpoint выяснили, что в марте сразу несколько компаний ФРГ получили письма от хакеров, которые маскировались под известный немецкий бренд Metro. Они рассылали фейковые счета-фактуры, которые представляли ZIP-архив с вредоносным ярлыком, активировавшим PowerShell-скрипт. После запуска скрипта «просыпался» инфостилер, который выполнял вредоносный код в памяти, не затрагивая диск. 

ИБ-специалисты отметили, что PowerShell-скрипт имеет отличительные особенности: идеальная грамматика комментариев, необычная структура и именование переменных – все это говорит о том, что хакеры, вероятно, используют возможности генеративного искусственного интеллекта – Gemini, ChatGPT или Copilot. Благодаря проникновению в ИТ-инфраструктуры атакуемых компаний, хакерам удалось похитить ценную информацию – данные из браузера и буфера обмена, cookie-файлы и многое другое. 

Хакерские группировки уделяют германским организациям пристальное внимание. В феврале под масштабную атаку попал разработчик программного обеспечения PSI Software SE, который я работает с объектами критической инфраструктуры ФРГ. При этом власти страны признаются, что они бессильны перед хакерами.