Спутниковый фишинг

Тема обхода блокировки Starlink активно используется в социнженерных атаках, нацеленных на российских военных. Причём дело не ограничивается сбором информации через поддельных ботов, о чём неделю назад рассказала украинская группировка «256 Киберштурмовая дивизия». Есть и другие схемы. Не факт, что за всеми стоят одни и те же хакеры, но их объединяет заманивание жертв регистрацией терминалов Starlink.

Один из ярких примеров — распространение вредоносной программы под видом заявки на регистрацию Starlink через популярный российский канал по тематике БПЛА.

Есть два похожих телеграм-канала: «Техник БПЛА» (@texotdelBPLA) с 23 тыс. подписчиков и «БПЛА Техник» (@texBPLA) с 10 тыс. подписчиков.

С 6 февраля «Техник БПЛА» начинает публиковать посты о том, как ему удаётся регистрировать терминалы Starlink для российских военных через дропов-украинцев. Сообщения набирают большое количество репостов. В эту первую неделю после отключения спутникового интернета для российской стороны в околовоенных каналах обсуждается как раз такая возможность поиска подставных лиц для. Одновременно, впрочем, появляются и предостережения о том, что услуги регистрации предлагают мошенники. «Техник БПЛА» пока не даёт никаких ссылок, но уже прогревает аудиторию.

12 февраля «БПЛА Техник» сообщает, что получает много запросов помочь разблокировать Starlink после постов в канале «Техник БПЛА», но предупреждает, что тот канал уже год назад (!) увели мошенники: «["Техник БПЛА"] не наш, хотя изначально создавался и велся мною лично, мы давно не имеем отношения к этому каналу, более того ВНИМАНИЕ - в прошлом году один из админов канала был взломан мошенниками и канал украден».

14 февраля канал «Техник БПЛА» публикует ссылку на новый контакт поддержки, с которым предлагается связаться для получения чек-листа и инструкции для регистрации терминала: «У нас есть только один аккаунт поддержки, других аккаунтов нету и мы сами никому первые не пишем!»

Спустя сутки «БПЛА Техник» выпускает ещё одно предупреждение: «Пост поздний, но лучше предупредить. Так понимаю, кто то уже на этом попал. Так вот, канал на самом деле оказался мошенническим, ни в коем случае не нужно открывать файл zip который вам пришлют/прислали. Там содержится вирус». Аналогичные предупреждения появляются и в других каналах по военной тематике.

Распространение вредоносной программы происходило следующим образом: жертва сама писала в «поддержку», получала от неё сообщение с инструкцией и архивом «Чек-лист.zip», содержащей одноимённый исполняемый файл.

В отличие от схемы с новыми ботами в этой атаке использовались доверенные отношения: скомпрометированный канал с большой аудиторией и сравнительно долгой историей.

Сколько человек клюнули на приманку, неизвестно, но очевидно, что из 23 тыс. подписчиков кто-то да мог попасть в воронку.

При этом стоит отметить, что по крайней мере некоторые из тех, кто скачал «чек-лист», не стали его бездумно запускать, а проверили на наличие вирусов. Уже через пару часов после публикации «Техником БПЛА» контакта поддержки EXE-файл из архива был впервые загружен на VirusTotal.

Но на этом история не закончилась. Несмотря на огромное количество негативных реакций, появившихся под постами «Техника БПЛА» после разоблачения, его администраторы упорно продолжают придерживаться легенды и призывать писать в «поддержку». А дизлайки объясняют украинскими накрутками. А почему нет? Ведь не все подписчики могли видеть предостережения, значит, схема ещё себя не исчерпала, как и канал в целом.

В более широком плане фишинговые атаки, вдохновлённые блокировкой спутникового интернета, примечательны тем, что уязвимость, которую эксплуатируют хакеры, в данном случае носит социотехнический характер и была создана усилиями самих российских военных. За последние пару лет они стали всё сильнее полагаться на Starlink, оказались зависимы от технологии, которую не контролировали. Поскольку сами терминалы поступали в войска неформально, после блокировки естественным решением некоторым показалось найти новые лазейки, что и сделало их уязвимыми к социальной инженерии.