Хакеры Rare Werewolf атакуют российский бизнес через фиктивные договоры

Техническая цепочка заражения начинается с получения письма, которое выглядит как продолжение рутинного обсуждения. В архиве под названием «Актуальная редакция Договора поставки N 8530-69 Исх. 755.rar» скрыт исполняемый файл. Его запуск провоцирует многоэтапную установку вредоносного ПО, использующего каскадную загрузку компонентов для обхода защиты. После проникновения программа разворачивает AnyDesk, обеспечивая хакерам постоянный удаленный контроль над скомпрометированным компьютером.

Для кражи информации злоумышленники извлекают пароли из браузеров и почтовых клиентов, отправляя их на внешние серверы через SMTP-инфраструктуру. Чтобы усложнить обнаружение, вредоносный код отключает встроенные механизмы безопасности Windows и стирает следы своего присутствия. Внешний вид писем максимально приближен к реальности: используются термины «калькуляция» или «преамбула», а также ссылки на конкретные пункты документов. Дополнительную убедительность придает фальшивый штамп о прохождении антивирусной проверки, который должен усыпить бдительность сотрудников. Angara MTDR предупреждает, что даже при наличии цифровых подписей любые вложения от внешних адресатов требуют обязательной верификации через альтернативные каналы связи.