В ноябре и декабре компании активнее сверяют расчеты, согласуют бюджеты и закрывают отчетность. На этом фоне письмо о долге или расхождении в акте сверки не обязательно покажется подозрительным, объясняют эксперты. Злоумышленникам достаточно встроиться в привычную переписку и предложить открыть документ.

Специалисты Angara MTDR выявили рассылку от имени действующей компании: получателю сообщали о задолженности и предлагали проверить акт сверки. Ссылка вела в Dropbox, откуда скачивался ZIP-архив с установочным файлом MSI. Он выдавал себя за обновление Firefox и устанавливал легитимную программу вместе с вредоносной библиотекой. Через технику DLL Side-Loading доверенное приложение запускало вредоносный код, а пользователю одновременно открывался PDF с актом. В результате заражение могло остаться незамеченным; злоумышленники получали возможность удаленно выполнять команды на компьютере.

Другой распространенный прием — защищенные паролем архивы, замаскированные под счета, накладные, акты или уведомления о задолженности. Пароль указывают в самом письме, чтобы затруднить обнаружение вложения почтовыми фильтрами и антивирусами. Если пользователь запускает спрятанный файл, атакующие могут добраться до систем дистанционного банковского обслуживания. По словам руководителя BI.ZONE Threat Intelligence Олега Скулкина, в ноябре уже фиксировалась кампания Watch Wolf с вредоносной программой GrimGazer; вложения выдавали за акты сверки и счета. Среди возможных атакующих групп эксперты также называют Monetary Wolf и Vengeful Wolf.

Мишенью становятся бухгалтеры, финансовые директора, финансисты, руководители и предприниматели. При успешной атаке под угрозой оказываются деньги, конфиденциальные сведения, электронная подпись руководителя, финансовые программы и система электронного документооборота.

Специалисты советуют проверять нестандартные финансовые поручения по заранее известному номеру телефона или другому независимому каналу, а не только по письму или сообщению. Крупные платежи в системе «Клиент-Банк» стоит подтверждать силами двух уполномоченных сотрудников. Дополнительные меры — многофакторная аутентификация, разграничение доступа, регулярная сверка операций и контроль необычной активности учетных записей. Срочные просьбы обойти обычное согласование эксперты считают характерным признаком мошенничества.