А потом уже осуждай ИБ-специалиста 😁

Особенно когда сотрудники снова кликают, курсы проходят ради галочки, а виноватым остаётся ИБ.

26 августа разберём, как превратить сотрудников в союзников и выстроить обучение без боли.

Специалисты Seqrite обнаружили целевую кампанию Operation QUICSILVER против дипломатов и госслужащих Мьянмы. Злоумышленники использовали приглашение на официальную церемонию от имени Департамента информационных технологий и кибербезопасности страны.

Файл TrainingAnnouncement.jpg выглядел как изображение, но на самом деле был виртуальным диском VHD. После его подключения пользователь видел TrainingAnnouncement.pdf со значком PDF. Фактически это был ярлык Windows LNK.

Цепочка заражения выглядела так:
файл-приманка TrainingAnnouncement.jpg
→ подключение VHD
→ запуск замаскированного под PDF файла .lnk
→ запуск штатного ftp.exe с локальным сценарием
→ объединение скрытых header.doc и body.doc через copy /b
→ создание Windowsupdate.exe в %LOCALAPPDATA%
→ запуск бэкдора QUICAgent.

Параллельно открывался настоящий PDF с приглашением. Для пользователя всё выглядело штатно: он нажал на «документ» и увидел ожидаемый документ.

После заражения QUICAgent собирал имя компьютера и пользователя и устанавливал соединение с C2. Адрес управляющего сервера вредонос получал через Cloudflare Workers, для связи использовал HTTP/3 поверх QUIC на UDP 443, а передаваемые данные дополнительно шифровал RC4.

Бэкдор позволял оператору выполнять команды, просматривать каталоги, загружать и скачивать файлы. Для закрепления в системе создавался ярлык SystemIn.lnk в папке автозагрузки Windows.

Что здесь особенно интересно для ИБ-команд?

🔹 Доверие создаётся сразу на нескольких уровнях. Релевантная дипломатам тема, официальный отправитель, правдоподобное мероприятие, привычная иконка PDF и настоящий документ, который открывается после клика.

🔹 В цепочке активно используются штатные возможности Windows. ftp.exe, copy /b, LNK и автозагрузка сами по себе не являются однозначными индикаторами вредоносной активности. Это усложняет обнаружение атаки по принципу «запрещаем всё неизвестное».

🔹 Расширение и иконка файла больше ничего не гарантируют. Пользователь видел PDF, но запускал LNK внутри VHD. Обучение сотрудников должно включать не только проверку отправителя и ссылок, но и работу с нестандартными типами файлов и маскировкой расширений.

🔹 После клика атака не заканчивается. Для защиты важна видимость всей последовательности действий: подключение VHD → запуск LNK → необычный вызов системной утилиты → создание исполняемого файла в %LOCALAPPDATA% → закрепление через Startup → исходящий QUIC-трафик.

Operation QUICSILVER показывает, насколько сложными становятся целевые фишинговые атаки: злоумышленники маскируют не только вредоносный файл, но и всю цепочку заражения под привычные действия пользователя. Поэтому одной проверки отправителя и расширения файла уже недостаточно – защита должна сочетать обучение сотрудников с контролем подозрительных действий в системе и сетевой активности.

#StopPhish #Кибербезопасность #Фишинг #ИнформационнаяБезопасность #SecurityAwareness

Ваше имя подскажет, что нужно успеть до конца лета ☀️

Осталась неделя. Вы еще можете успеть закрыть всё, что обещали себе в мае. Или хотя бы сделать вид 😄.

Первая буква вашего имени – ваш личный ИБ-навигатор. Нашли на картинке свой пункт? Действуйте! Не нашли? Значит, вам можно ничего не делать 😄.

А если серьёзно – 26 августа в 12:00 МСК разберем, как подружить сотрудников с безопасностью без скучных регламентов.

Регистрируйтесь, будет не больно.

Узнали своего сотрудника? 😅

Значит, завтра в 12:00 МСК нам точно есть о чем поговорить.

На вебинаре разберём, как обучать сотрудников ИБ, чтобы Security Awareness всё-таки победил Канье.

👉 Регистрируйтесь!

Последний рывок на вебинар StopPhish 🏃‍♂️💨

Сегодня в 12:00 МСК.

Успеваешь. Подключайся!

Обучение по ИБ раз в год – и можно забыть до следующего?

Так знания быстро теряются, а человеческий фактор никуда не исчезает.

В StopPhish обучение можно выстроить регулярно: актуальные темы, интерактивные курсы и работа с человеческим фактором.

👉 Запишитесь на демо и посмотрите, как это работает на практике.

#StopPhish #SecurityAwareness #Кибербезопасность #ИнформационнаяБезопасность

Юрий Другач, CEO StopPhish, автор книги «Контролируемый взлом. Библия социальной инженерии»:

Сценарии обучения должны учитывать канал, через который может проходить атака. Для мессенджеров стоит отдельно разбирать голосовые сообщения, видеокружки, дипфейки и обращения от имени руководителя с просьбой срочно перевести деньги, перейти по ссылке или запустить файл.

Специально для этих целей мы создали курс по мобильной информационной безопасности и тренажёр, в котором сотрудники учатся анализировать голосовые сообщения и их расшифровки. Такой формат позволяет разобрать характерные для мессенджеров угрозы без проведения рассылок на личные номера.

С учебными атаками в мессенджерах ситуация сложнее. Аккаунты сотрудников часто привязаны к личным номерам, поэтому сообщение в личный Telegram может восприниматься как вторжение в личное пространство. Кроме того, сам сервис не предназначен для массовых имитационных рассылок.

Более безопасный вариант: разыграть взлом администратора рабочей группы и разместить от его имени учебную ссылку или просьбу открыть файл. Так можно проверить реакцию сотрудников в рабочем канале, не затрагивая личную переписку.

P. S. Есть вопрос, который давно хотелось задать экспертам по кибербезопасности? Пишите в комментариях – разберём его в рубрике #StopPhishотвечает.

450 миллионов рублей – цена одного успешного обмана

Самый крупный зафиксированный в Москве ущерб от кибермошенничества составил 450 млн рублей. Еще один громкий случай – телефонное мошенничество с ущербом в 317,6 млн рублей.

И это не ущерб компаний от сложных кибератак. Это деньги, которые обычные люди потеряли в результате социальной инженерии – поверив мошенникам и действуя по их сценарию.

Давление, срочность, доверие к «руководителю», «банку» или «госорганам» – и одна ошибка может привести к серьезным финансовым потерям.

Только во II квартале 2026 года мошенники похитили почти 7,4 млрд рублей, а доля юрлиц в общем объеме похищенных средств выросла до 11,3%.

У человеческого фактора вполне конкретная цена. А сколько может стоить киберинцидент вашей компании? Об этом – в следующем посте.

#Кибермошенничество #Кибербезопасность #ИнформационнаяБезопасность #SecurityAwareness