Специалисты по безопасности Group-IB зафиксировали в сентябре серию почтовых рассылок вредоносных программ от имени руководства МГУ им. М.В.Ломоносова. Среди получателей - финансовые, промышленные и государственные организации России. В письме злоумышленники от имени ректора Виктора Садовничего просят получателей ознакомиться с прикрепленным документом - описанием бюджета на 2020 год - и оперативно выслать свое коммерческое предложение.
Как отмечают эксперты, сами письма написаны довольно безграмотно, со стилистическими ошибками, порядок слов и предложений указывает на машинный перевод. Ученая степень ректора указана неверно: Садовничий - не доктор философии, а доктор физико-математических наук. В футоре письма содержатся ссылки, большая часть из которых ведёт не на ресурсы МГУ, а на ресурсы Белградского университета. "Судя по всему, злоумышленники поленились поменять или проверить перед рассылкой все ссылки в шаблоне, что свидетельствует о подобных атаках от имени других иностранных университетов", - утверждают в Group-IB.
Любопытно, что в фейковых письмах отправителем указаны admin@msu.ru или admin@rector.msu.ru, но в действительности письма уходили с скомпрометированного почтового сервера португальского отеля "Hotel Afonso V" в городе Авейру. После обнаружения атаки аналитики CERT-GIB оповестили администрацию отеля о взломе.
Все письма содержат .zip архив с именем "Запрос коммерческого предложения" с исполняемым файлом .exe внутри. При запуске на компьютер устанавливалась вредоносная программа из семейства Loki PWS, предназначенная для кражи с зараженного компьютера логинов и паролей. В дальнейшем злоумышленники могут использовать их для получения доступа к почтовым аккаунтам или криптокошелькам, для финансового мошенничества, шпионажа или продать похищенные данные на хакерских форумах.