В выпуске за 15 ноября – фишинг на фоне сбоя Microsoft 365, захват домена Across через поддержку регистратора, атаки на муниципальные и медицинские организации и новые исследования BEC, ClickFix и инфостилеров.
Сбой Microsoft 365 превратили в приманку
Через несколько часов после сбоя Microsoft 365 12 ноября злоумышленники начали рассылать поддельные уведомления о восстановлении почты. Field Effect 13 ноября обнаружила письмо, которое копировало формат карантинного отчёта Microsoft и утверждало, что четыре задержанных сообщения удалят через 24 часа. Кнопка «RESTORE MESSAGES» вела на страницу сбора учётных данных; тот же текст видели и в других организациях [1].
Microsoft Threat Intelligence сообщила, что похожие письма получили организации из нескольких отраслей США [2]. Они ссылались на настоящий номер сбоя Exchange Online EX1550543, использовали темы вида «Outage – XXXXXX» и отображаемые имена с названием организации и словами «Outage Notification» или «Service Health». Отправители работали с доменов moments-notice.com, planetmaison.com и newbooker.com. Индивидуальные ссылки SendGrid перенаправляли на reallifeaccounting.com.
Кампания использовала реальное событие, ожидание задержанных писем и угрозу удаления. Microsoft оценила её как фишинг учётных данных, но не подтвердила фактическую кражу паролей, доставку вредоносного ПО, число адресатов или успешные компрометации. Сам сбой был техническим и не связан с атакой.
Администраторам рекомендовано искать сообщения и клики через Threat Explorer и журналы Defender XDR, проверить Safe Links и сверять сведения о сбоях в Microsoft 365 Admin Center. После взаимодействия с приманкой нужно сменить пароль, отозвать сессии и токены, проверить новые OAuth-согласия, методы MFA и правила переадресации почты.
Across потерял домен после обращения к поддержке регистратора
Across Protocol сообщил, что 10 ноября злоумышленник с помощью социальной инженерии убедил поддержку Namecheap передать контроль над доменом across.to [3]. Примерно с 18:45 до 21:53 UTC настоящий адрес вёл на поддельную копию криптомоста. Она предлагала пользователям подписать разрешения на расходование токенов, хотя смарт-контракты Across продолжали работать нормально.
Механика разговора с поддержкой и изменение в учётной записи регистратора не раскрыты. Команда Across получила предупреждение в течение 15 минут, начала отключать интерфейс, обратилась к партнёрам и добилась маркировки сайта как фишингового. Компания не назвала число жертв и сумму потерь, но пообещала полностью компенсировать ущерб.
Bitquery проследила около 401 900 долларов, выведенных из девяти кошельков в пяти сетях [4]. Из них 305 000 долларов пришлись на один кошелёк с депозитом Aave. Это независимая оценка по блокчейну, а не подтверждённая Across итоговая сумма. Namecheap не публиковал технического отчёта, поэтому неизвестно, как именно атакующий обошёл процедуры регистратора.
Для критических доменов нужны реестровая блокировка, внеполосная проверка запросов в поддержку и непрерывный контроль NS- и DNS-записей. Пользователям, взаимодействовавшим с across.to 10 ноября, следует проверить и отозвать разрешения токенов, включая подписанные вне сети permits.
Муниципальный ящик и поддельный регулятор
Австрийский муниципалитет Hainburg an der Donau подтвердил несанкционированный доступ к служебному почтовому аккаунту 11 ноября [5]. Рано утром с настоящего адреса нескольким контактам отправили письма от имени городской администрации с внешней ссылкой и возможным запросом учётных данных. Способ первоначального захвата ящика неизвестен, поэтому связывать вход с фишингом нельзя. Подтверждённая социальная инженерия началась позже, когда легитимный аккаунт использовали для обмана его контактов.
Муниципалитет не раскрыл число сообщений, содержание приманки, успешные переходы и ущерб. Аккаунт заблокировали, ИТ-системы проверили, пароли сменили, сотрудников и власти уведомили. Получателям рекомендовали удалить письмо и после перехода обратиться в свою ИТ-службу.
Во Франции Agence régionale de santé Île-de-France предупредила о другой кампании против стоматологических кабинетов и частных медиков [6]. Письма, датированные вечером 9 ноября, копировали оформление ARS, приходили, в частности, с адреса controle@ars-idf.com и требовали пройти обязательную проверку соответствия. Получателей убеждали прислать копии паспортов, номера RPPS и FINESS, дипломы, подтверждение членства в профессиональном ордене, выписку Kbis и страховые документы.
Несколько стоматологов сообщили о таких письмах, а похожие сигналы поступили в другие региональные агентства. ARS не указала число адресатов и не подтвердила передачу документов. Агентство уведомило CNIL, полицию, прокуратуру и советы Ордена стоматологов. Необычные административные запросы следует подтверждать по официальному номеру, а документы не пересылать до проверки домена и процедуры.
От похищенного SMTP-пароля до BEC прошло 32 минуты
Французский Le Lab Technique провёл контролируемый эксперимент с поддельным веб-приложением и SMTP-сервисом [7]. Каждому посетителю выдавали уникальный пароль из доступного файла .env. Сервер принимал сообщения, но не пересылал их реальным адресатам.
Тринадцатого ноября робот с сервера во Франкфурте попытался использовать CVE-2017-9841, прочитал .env, проверил SMTP тестовым письмом и попробовал те же данные по SSH. Через 32 минуты уникальный пароль применили с другого адреса и у другого хостера. Новый оператор отправил девять одинаковых писем о просроченном счёте: поддельный директор просил финансовый отдел срочно заплатить поставщику, а ответы направлялись на похожий домен, зарегистрированный за 17 дней до опыта.
Смена инфраструктуры и уникальный пароль поддерживают гипотезу передачи или продажи данных, но прямую сделку исследователи не наблюдали. Реального ущерба не было. За восемь дней ловушка получила 38 119 подключений с 1 015 адресов из 85 стран; эти цифры описывают лабораторный трафик, а не число жертв. Источник также продвигает собственные продукты, независимого подтверждения эпизода нет.
Эксперимент показывает, почему обнаруженный секрет нужно менять немедленно. Доступ к .env следует закрывать, SMTP ограничивать по отправителям и объёму, а платёжные запросы проверять по известному телефону. В BEC без ссылок и вложений полезно анализировать роль отправителя, срочность и несовпадение Reply-To.
ClickFix меняет нагрузки, а приманки остаются
Flare разобрала пять наблюдаемых цепочек ClickFix, где поддельная CAPTCHA или проверка браузера убеждала пользователя нажать Win+R, вставить команду из буфера и выполнить её [8]. Пользователь сам запускал PowerShell или другой интерпретатор, поэтому социальная инженерия была частью исполнения.
Поддельный DMarket устанавливал ранее не описанный CrashHandler RAT, добивался повышения прав и добавлял диск C: в исключения Defender через подписанную утилиту Google. Чешский тайпсквот Microsoft разворачивал пакетный RAT. Клон сайта Howdens устанавливал .NET-RAT, который использовал метаданные клиентов Stripe как канал команд и вывода данных через api.stripe.com. Ещё одна цепочка запускала только калькулятор, а Telegram-адрес следующей стадии уже не работал. Поэтому заражение и вредоносный результат подтверждены не для всех пяти случаев.
Исследователи искали инфраструктуру через Shodan, Censys, crt.sh, Google и urlscan, затем проверяли страницы и файлы в песочнице. Выборка из пяти случаев не показывает распространённость ClickFix и не доказывает заражение каждой системы, посетившей страницу. Для защиты полезны запрет ненужных Run, mshta и curl, обнаружение запуска командной оболочки из браузера и контроль неожиданных исключений Defender.
Приманки предложили использовать как сигнатуры кампаний
Другая работа Flare Systems на 53 896 обезличенных логах инфостилеров предложила связывать заражения не только по доменам, IP-адресам и хэшам, но и по теме приманки: кряку программы, игровому моду или утилите [9]. Авторы извлекали из истории браузера, файлов и снимков экрана тему заражения и URL, а затем объединяли похожие эпизоды алгоритмом Hybrid Rolling HDBSCAN.
Детальный анализ 18 496 заражений по десяти брендам выделил 177 кампаний: 128 программных и 49 игровых. Для крупных и средних групп модель нашла все эталонные кампании, кроме одной средней игровой, объединённой с другой. На малых игровых кампаниях полнота снизилась до 58,33%, или 14 из 24. В программных кампаниях более 60% заражений приходились на первые десять дней, а длительные игровые кампании со временем ускорялись.
Работа опубликована на arXiv без указанного рецензирования и основана на данных платформы Flare. Основное окно наблюдений длилось 47 дней, поэтому продолжительность кампаний занижена, а результаты по десяти брендам нельзя переносить на весь рынок инфостилеров. Метод полезен как дополнительный слой: тема, из-за которой пользователь запустил файл, может пережить смену доменов и образцов вредоносного ПО.
Источники
[1] https://fieldeffect.com/blog/microsoft-365-outage-theme
[2] https://cybersecuritynews.com/active-password-stealing-attack-microsoft-365/
[3] https://cointelegraph.com/news/across-protocol-restores-website-after-hackers-hijack-domain
[4] https://bitquery.io/investigations/across-protocol-domain-hijack
[5] https://www.hainburg-donau.gv.at/Sicherheitshinweis_der_Stadtgemeinde_Hainburg_an_der_Donau_betreffend_Phishing-E-Mail_vom_11_11_2026
[6] https://www.iledefrance.ars.sante.fr/alerte-campagne-de-mails-frauduleux-phishing-ciblant-plus-particulierement-les-chirurgiens-0
[7] https://lelabtechnique.fr/identifiants-voles-revendus-et-fraude-au-virement-en-32-minutes/
[8] https://flare.io/learn/resources/blog/hunting-clickfix-attacks-deep-dive
[9] https://arxiv.org/abs/2611.15394