Группировка MuddyWater атаковала израильский бизнес под видом налоговой

Исследователи из подразделения Cato CTRL компании Cato Networks раскрыли целенаправленную фишинговую кампанию, замаскированную под Налоговое управление Израиля. Атака, зафиксированная в сентябре 2026 года, нацелена на сотрудников финансового и административного секторов израильских организаций с целью внедрения средств удаленного управления на конечные станции.

Инженеры атак и методы социальной инженерии

По оценкам исследователей Гая Визеля, Идана Траба, Зохара Бубера, Томера Погица и Шани Курцберг, за операцией стоит хакерская группировка MuddyWater, связанная с министерством разведки и безопасности Ирана. Злоумышленники рассылают сотрудникам предприятий электронные письма, имитирующие официальные уведомления налогового ведомства и призывающие зайти в «личный кабинет».

Переход по ссылкам ведет на фишинговые домены, имитирующие правительственные адреса, такие как document-govil[.]com и document-govil[.]online. Для создания видимости безопасности жертвам предлагается пройти имитацию проверки CAPTCHA, ввести стандартный пароль 123123 и загрузить заархивированный файл, замаскированный под налоговый документ с расширением EXE.

Использование легитимного ПО для удаленного доступа

Вместо разработки уникального вредоносного ПО хакеры выбрали злонамеренное применение легитимного инструмента SimpleHelp, предназначенного для удаленного мониторинга и администрирования. Установка устаревшей версии программы настраивает прямую связь с сервером управления злоумышленников, предоставляя им полный контроль над зараженным компьютером.

Специалисты отмечают, что инцидент не связан с уязвимостью в самой программе SimpleHelp, а обусловлен злоупотреблением ее штатным функционалом. Организациям рекомендуется усилить бдительность персонала и заблокировать выявленные индикаторы компрометации в корпоративных сетях.