Воздействие вредоносного ПО Qakbot в 2023 году

Подтверждённые категории данных, адреса электронной почты и пароли. Наличие поля пароля может повышать риск захвата учётных записей, если тот же или похожий пароль использовался в других сервисах. Адреса электронной почты также могут облегчить выбор целей для фишинга, ложных уведомлений о безопасности и сообщений от тех, кто выдаёт себя за службу поддержки. Поскольку речь идёт о вредоносном ПО, пользователям важно рассматривать защиту устройств и цифровой личности в совокупности.

Номера телефонов, физические адреса, платёжные сведения, государственные идентификационные данные, личные сообщения, сведения о здоровье и другие поля профиля здесь не относятся к подтверждённым категориям. Также нельзя сделать вывод, что пароль хранился в открытом виде, остаётся актуальным, присутствовал рядом с каждым адресом электронной почты или относится ко всем сервисам, которыми пользовался один человек. Важно не выходить за рамки подтверждённых сведений, чтобы не вызывать у людей ненужную тревогу или ложное чувство безопасности.

Операция правоохранительных органов в августе 2023 года была направлена на нарушение работы инфраструктуры ботнета Qakbot и связанного с ним вредоносного ПО. После неё для уведомления пострадавших были переданы 6 431 319 адресов электронной почты. Это число отражает количество уникальных идентификаторов в виде адресов электронной почты, а не отдельно подтверждённое число пострадавших, людей, устройств или пользователей. Оно не показывает, на каком устройстве был обнаружен адрес и как долго сохранялся связанный с ним риск.

Имеющиеся сведения не позволяют связать этот набор данных с доменом конкретной компании, списком клиентов или веб-сайтом. Поэтому его не следует представлять как случай, за который отвечает определённая компания, страна или поставщик услуг. Нарушение работы вредоносного ПО не исключает полностью возможность повторного использования данных, полученных ранее. С другой стороны, само по себе совпадение не доказывает, что вредоносное ПО остаётся на устройстве или что злоумышленник по-прежнему имеет доступ.

Люди, чей адрес электронной почты найден в этом наборе данных, могут подвергаться большему риску, если они использовали один пароль в разных сервисах или долго не меняли старый пароль. Сотрудники, использующие рабочую почту, руководители, финансовые подразделения и люди с доступом к инструментам администрирования могут стать целями фишинга или попыток захвата сеансов. Этим группам следует особенно внимательно относиться к неожиданным письмам с запросами на сброс пароля, предоставление общего доступа к документам или одобрение доступа.

У людей, использующих общие устройства или устройства под централизованным управлением, риск может выходить за рамки одной учётной записи в веб-сервисе. Следует проверить старые профили браузера, сохранённые пароли, инструменты удалённого доступа и устаревшие компоненты операционной системы. Тем, кто использует один адрес электронной почты для личных и рабочих целей, следует оценивать уведомления отдельно в каждом контексте и пользоваться известными официальными каналами, а не ссылками из сообщений.

Если обнаружено совпадение, смените пароли важных учётных записей с устройства, в отсутствии заражения которого вы уверены. В первую очередь уделите внимание электронной почте, менеджеру паролей, финансовым сервисам, рабочему доступу, инструментам администрирования и учётным записям, используемым для сброса паролей. Выберите отдельный надёжный пароль для каждого сервиса, где использовался тот же или похожий пароль, завершите активные сеансы и включите многофакторную аутентификацию там, где она поддерживается.

Проведите проверку актуальным защитным ПО, установите обновления операционной системы и браузера, проверьте неизвестные расширения и элементы автозагрузки. Если затронуто рабочее устройство, сообщите об этом команде безопасности или ИТ-специалистам и не пытайтесь самостоятельно удалять следы инцидента. Вместо перехода по ссылкам в письмах о сбросе пароля или безопасности напрямую откройте известный адрес соответствующего сервиса. Проверяйте подозрительные уведомления о доступе и аутентификации через другой канал связи.

Уникальный пароль и многофакторная аутентификация для каждого сервиса снижают риск, связанный с повторным использованием учётных данных. Менеджер паролей может помочь безопасно хранить длинные случайные пароли. Поддерживайте на устройствах автоматическую установку обновлений безопасности, актуальную защиту от вредоносного ПО и регулярное резервное копирование. Периодически проверяйте сохранённые в браузере данные для входа и ненужные расширения.

Организациям следует совместно оценивать защиту устройств, защиту электронной почты и журналы аутентификации. Для учётных записей с высокими привилегиями можно использовать дополнительное одобрение, условный доступ и уведомления о необычных сеансах. Сотрудников следует регулярно обучать тому, как проверять уведомления о безопасности, сообщать о подозрительных вложениях и избегать передачи паролей через каналы связи. Эти меры также снижают риск выдачи себя за другого человека и повторного использования данных после первоначальной активности вредоносного ПО.

Проверка адреса электронной почты может показать, присутствует ли он в наборе данных, переданном для уведомления пострадавших. Совпадение не доказывает, что устройство было затронуто в каждом случае, что пароль актуален, что все поля находились в одной строке или что несанкционированный доступ сохраняется. Воспринимайте результат как веский повод проверить защиту устройств и учётных записей, а не как полный технический журнал событий.

После обнаружения совпадения сначала проверьте доступ к электронной почте, варианты восстановления и методы многофакторной аутентификации. Затем устраните повторное использование паролей в важных сервисах, проверьте активные сеансы и следите за уведомлениями о безопасности. Если речь идёт об устройстве под централизованным управлением или рабочем устройстве, обратитесь за помощью к соответствующей команде. Даже если совпадения нет, уникальные пароли, актуальное ПО и внимательная проверка сообщений по-прежнему снижают риски, связанные с вредоносным ПО.