Экспертный центр безопасности Positive Technologies (PT Expert Security Center) обнаружил единую инфраструктуру для распространения дезинформации. В нее входят более 120 ресурсов: около 50 доменов, не менее 74 Telegram-каналов, а также аккаунты в социальных сетях. В большинстве случаев злоумышленники распространяли фиктивные новости, а иногда под видом государственных ведомств запрашивали данные сотрудников российских организаций. Об этом CNews сообщили представители Positive Technologies.

Значительная часть доменов имитировала официальные новостные порталы, на которых правдоподобные сообщения соседствовали с ложными, а ссылки вели на несуществующие источники. Многие площадки делали ставку именно на привлекающие внимание провокационные заголовки. Некоторые из этих ресурсов существуют до сих пор.

Для распространения дезинформации также были задействованы практически все социальные онлайн-платформы. Аккаунты в I*******m и на YouTube маскировались под региональные новости, перенаправляя пользователей на те же поддельные сайты. В других социальных сетях злоумышленники активно размещали ссылки на фиктивные страницы в комментариях под чужими записями. Больше всего активных каналов нашли в Telegram. Десятки из них публиковали одинаковые тексты со ссылками на одни и те же ресурсы, что и позволило связать их в одну информационную кампанию. На момент исследования аккаунты в TikTok уже были удалены, однако следы их работы сохранились.

Распространением дезинформации через сайты и соцсети злоумышленники не ограничились. Некоторые российские компании получили письма якобы от государственных ведомств с доменов, похожих на официальные, но лишь на первый взгляд: вместо привычных зон .ru или .gov.ru стояли .live, .work и подобные. Под видом государственных ведомств злоумышленники рассылали ложную информацию, например о введении чрезвычайной ситуации в регионе, вероятно рассчитывая на ее дальнейшее распространение в СМИ и соцсетях. Часть писем преследовала другую цель: киберпреступники просили передать списки работников или сведения о зарплатах — такие данные могут пригодиться для последующих целевых атак на конкретных людей. Интересно, что вложения в письмах не содержали вредоносной нагрузки и, по мнению экспертов, были созданы для правдоподобности.

На одном из доменов был архив, путь к которому очень редкий и встречался ранее только у хакеров из Rare Werewolf. Показательно, что первые письма этих злоумышленников обычно не содержат вредоносных вложений — атака начинается после ответа получателя на сообщение. Схожесть писем, общая тематика и нацеленность на Россию позволяют предположить, что фиктивная кампания может быть связана с активностью этой группировки.

Отличие таких кампаний по дезинформации от привычных кибератак в том, что они нацелены не на ИТ-системы, а влияют на восприятие людей. На первый взгляд фиктивные ресурсы могут казаться правдоподобными и даже определяться поисковиками как независимые новостные порталы. Можно заблокировать отдельные сайты и аккаунты, но преступники активно создают новые, не ограничивая себя в выборе площадок. В подобных случаях пользователям необходимо критически относиться к резонансным и эмоционально окрашенным новостям и перепроверять информацию в официальных источниках. Также не следует передавать корпоративные данные внешним адресатам без дополнительной проверки.

Проследить связи между поддельными адресами помог PT Fusion — облачный портал для работы с актуальными данными киберразведки. По информации о регистрации доменов эксперты вышли на десятки других ресурсов сети. Остальные каналы распространения удалось найти по совпадающим текстам публикаций: одни и те же материалы появлялись одновременно на разных площадках.

• Подобрать оптимальный тариф на облачное резервное копирование BaaS на ИТ-маркетплейсе CNewsMarket