Масштабная кибератака на администрацию Берлина могла начаться с одного неосторожного клика. По данным немецкого издания Tagesspiegel, сотрудник транспортного управления открыл ссылку с фишингового письма. После этого хакеры получили доступ к внутренней IT-сети и смогли похитить огромный объем данных.
Для атаки, вероятно, использовали метод TerminalFix-новую версию известной мошеннической схемы ClickFix. Изначально работник попадал на поддельный сайт, где появлялся якобы обычный CAPTCHA-тест. Чтобы подтвердить, что он не робот, пользователя попросили выполнить определенную команду на компьютере.
Фактически, эта команда запускала вредоносное ПО. Пока на экране показывался якобы успешно пройденный тест, в фоновом режиме на компьютер загружалась другая вредоносная программа. Дополнительный код хакеры прятали даже в обычных изображениях, которые загружались на устройство.
После заражения злоумышленники получили возможность исследовать внутреннюю сеть, следить за активностью пользователя и получать доступ к его файлам. Они также могли создать удаленный канал для дальнейшего управления системой. Дополнительной проблемой стали обнародованные списки паролей берлинских ведомств, которые могли помочь хакерам продвинуться еще глубже в сеть.
Согласно BSI, использованное вредоносное ПО LoremIpsumLoader, также известное как AxolotLoader, связано с хакерской группой Rhysida. Именно ее считают ответственной за атаку на администрацию Берлина. Власти уже анализируют последствия инцидента, а полученные в ходе расследования данные используют для усиления защиты государственных сетей.