Исследователи компании Proofpoint сообщили о резком росте активности хакерской группировки TA558. Она известная как минимум с 2018 года и специализируется на атаках на отели, туристические компании и другие организации индустрии гостеприимства. В последнее время хакеры почти не давали о себе знать, но с недавнего времени вернулись к активным действиям. Специалисты связывают это с общим оживлением туристической индустрии, которая набирает обороты после долгих карантинных ограничений, вызванных пандемией COVID-19.

«Почерк» группировки довольно узнаваем. Как правило, она отправляет сообщения электронной почты отелям и туристическим компаниям, выдавая себя за посредников, нанятых крупной компанией для организации выездных мероприятий. Перспектива заполучить столь ценного клиента нередко заставляет получателей забыть об осторожности и принять письмо за подлинное. Ранее хакеры TA558 использовали для инфицирования жертв документы Microsoft Word со вредоносными макросами во вложениях. После того, как корпорация Microsoft заблокировала макросы по умолчанию, хакеры перешли на использование RAR-архивов, образов дисков ISO и вредоносных ссылок в теле письма.

Их задачей является загрузка на устройство получателя троянца удаленного доступа. Чаще всего TA558 использует вредоносное ПО AsyncRAT (Loda), Revenge RAT, XtremeRAT, CaptureTela и BluStealer. После установки эти зловреды позволяют злоумышленникам проникать в системы организаций-жертв, обнаруживать и похищать данные сохраненных банковских карт клиентов и осуществлять списание средств. Другой способ монетизации – компрометация учетных записей организаций на сторонних сервисах. Так, в июле нынешнего года был скомпрометирован аккаунт лиссабонского отеля The Marino Boutique Hotel на сайте Booking.com. В результате за 4 дня преступники смогли похитить порядка 500 тысяч евро у бронировавших номера клиентов. Прямых доказательств того, что за этим инцидентом стояли хакеры TA558 нет, однако вся схема организации атаки чрезвычайно типична именно для этой группировки.