Pilny mail z dokumentem? CERT Polska ostrzega przed groźną kampanią

• Oszuści wysyłają wiadomości z załącznikiem, który ma rzekomo zawierać dokument wymagający podpisu i pieczęci.
• Do maili dołączany jest plik z rozszerzeniem .tar, w którym ukryto malware z rodziny AgentTesla.
• Infekcja może prowadzić do kradzieży danych logowania, informacji z przeglądarek oraz danych z klientów poczty.

CERT Polska obserwuje kampanię dystrybucji złośliwego oprogramowania, w której przestępcy wykorzystują typowy biznesowy scenariusz. Wiadomość e-mail sugeruje, że odbiorca powinien podpisać i opieczętować dokument znajdujący się w załączniku.

Taki motyw ma zwiększyć wiarygodność wiadomości i skłonić użytkownika do szybkiego otwarcia pliku. W środowisku firmowym prośby o akceptację, podpis lub uzupełnienie dokumentów są częste, dlatego atak może łatwo wyglądać jak standardowa korespondencja.

Załącznik .tar ze złośliwym oprogramowaniem

Do wiadomości dołączany jest plik z rozszerzeniem .tar. To format archiwum, który może zawierać inne pliki ukryte wewnątrz paczki.

W tym przypadku załącznik zawiera szkodliwe oprogramowanie z rodziny AgentTesla. Po rozpakowaniu i uruchomieniu zawartości archiwum dochodzi do infekcji urządzenia.

Czym jest AgentTesla?

AgentTesla to rodzina złośliwego oprogramowania wykorzystywana przede wszystkim do kradzieży danych. Malware może pozyskiwać m.in. loginy, hasła, dane zapisane w przeglądarkach internetowych oraz informacje przechowywane w klientach poczty.

Tego typu dane mogą później zostać wykorzystane do przejmowania kont, dalszych ataków phishingowych, wyłudzeń lub prób dostępu do systemów firmowych.

Na co zwracać uwagę?

CERT Polska zaleca szczególną ostrożność wobec załączników, zwłaszcza jeśli wiadomość pochodzi od nieznanego albo nietypowego nadawcy.

Sygnałem ostrzegawczym powinny być również archiwa i pliki wykonywalne, w tym rozszerzenia takie jak .tar, .rar, .zip, .exe, .js czy .img. Szczególnie podejrzane są wiadomości, które sugerują pilne działanie i próbują skłonić odbiorcę do szybkiego otwarcia pliku.

Jak się chronić?

Nie należy otwierać załączników, których pochodzenia nie można jednoznacznie potwierdzić. W przypadku wiadomości rzekomo wysłanej przez kontrahenta lub instytucję najlepiej zweryfikować sprawę innym kanałem, np. telefonicznie, korzystając z numeru znalezionego samodzielnie.

Warto też dbać o aktualne oprogramowanie, ochronę antywirusową oraz ostrożność wobec nietypowych formatów plików przesyłanych w wiadomościach e-mail.

Podejrzana wiadomość? Zgłoś ją do CERT Polska

Podejrzane wiadomości i strony można zgłaszać do CERT Polska przez formularz na stronie incydent.cert.pl lub w usłudze „Bezpiecznie w sieci” w aplikacji mObywatel. Takie zgłoszenia pomagają szybciej identyfikować aktywne kampanie i ograniczać ich zasięg.