Поддельные счета Orange распространяют троян Remcos RAT

В описанной кампании злоумышленники задавали имя отправителя так, чтобы оно выглядело как в легитимной переписке, тогда как реальный адрес с Orange не был связан. В поле имени отправителя можно вписать любой текст. В одном из прежних вариантов атаки туда даже вписали «e-faktura@pl.orange.com».

В настоящем письме в поле получателя указан адрес клиента (некоторые почтовые программы показывают это как «мне»). В поддельных письмах поле «Do» («Кому») бывает нетипичным: с ошибочными заголовками, пустым или создающим впечатление, что одинаковое письмо ушло сразу многим.

Важный признак — раздел «Zasady bezpieczeństwa» («Правила безопасности»). В подлинном письме там должны быть данные получателя или название компании и номер клиента. CERT описывает случай, когда в письме значились данные реально существующей компании — клиента Orange, но пришло оно совсем другому человеку.

Вложение и безопасная оплата

Вложение может быть и в настоящем, и в поддельном письме, но роль у него разная: в легитимном это счёт, в поддельном — файл для установки Remcos RAT. По данным CERT, преступники могли скопировать шаблон из интернета либо получить его, взломав корпоративный почтовый ящик и добравшись до переписки.

Специалисты советуют быть особенно внимательными ко всем письмам об оплате и искать нестандартные детали. Безопаснее всего оплачивать счёт Orange в приложении Mój Orange или в банковском приложении, повторив предыдущий платёж. Подозрительное письмо можно отправить на проверку по адресу cert.opl@orange.com.