Специалисты по кибербезопасности — худшая цель для злоумышленника: их атаки быстро раскрывают. Недавно хакер, притворяясь сотрудником известного криптоиздания, атаковал несколько таких экспертов в преддверии конференций Black Hat и Def Con. Атака шла через соцсеть X, где жертвам отправляли публичные ответы и личные сообщения, а затем использовали Google Docs для распространения вредоносного ПО.
Исследователи из Huntress раскрыли эту схему. Один из их специалистов притворился заинтересованным, чтобы понять действия хакера. Злоумышленник с ошибками в английском спрашивал о планах на конференцию, затем упоминал мероприятие, якобы организованное криптосайтом. После этого он отправлял настоящий Google Doc, похожий на планировочный документ. Внутри была боковая панель, имитирующая шифрование.
Хакер просил жертву ввести ключ дешифровки, который сам предоставлял. Это был первый шаг к заражению macOS или Windows. Чтобы панель выглядела настоящей, использовался Google App Script — инструмент для настройки интерфейса Docs. Целью было внедрение инфостилера для Apple, переделанного инструмента удаленного доступа для Windows и фейкового установщика криптокошелька Ledger.
Аккаунт, связанный с хакером, не ответил на запрос TechCrunch в X. Google также не дал комментарий, когда его спросили о кампании. Ранее злоумышленники, включая правительственных хакеров и северокорейских, атаковали специалистов по безопасности, но эта схема выглядела убедительнее из-за использования легитимного Google Doc.