Хакеры из Нигерии терроризируют авиационную и аэрокосмическую отрасли

Специалисты Proofpoint обнаружили группу хакеров, которой присвоили идентификатор TA2541. Исследователи считают, что злоумышленники орудуют с 2017 года из Нигерии, и их активность сосредоточена на нескольких отраслях, включая авиацию, аэрокосмическую область и транспортную инфраструктуру в Северной Америке, Европе и на Ближнем Востоке.

По данным исследователей, участники TA2541 обладают весьма низкой квалификацией, почти не заботятся о скрытности своих действий и часто используют готовый вредоносный софт. Активность группы ранее уже привлекала внимание других компаний и попадала в отчеты Cisco Talos, Mandiant, Microsoft, Morphisec и независимых исследователей.

Обычно хакеры полагаются на массовые рассылки фишинговых писем, которые почти всегда написаны на английском языке и побуждают жертв загрузить вредоносные файлы (обычно — документы Microsoft Word), размещенные в облачных хранилищах — злоумышленники понимают, что такие ссылки почти никогда не блокируются внутри крупных компаний. Массовость таких спам-рассылок могла варьироваться от сотен до нескольких тысяч писем.

После загрузки и запуска такого файла происходит установка вредоносного ПО, а именно трояна удаленного доступа (RAT), который предоставляет участникам TA2541 доступ к зараженному компьютеру.

Данные авиационных и аэрокосмических компаний могут быть заманчивыми для преступных групп из-за интеллектуальной собственности отрасли, а также ее тесных связей с военными службами. Украденная информация регулярно продается на онлайн-форумах, а слитые учетные записи приносят серьезные деньги.