Доктор, у нас бэкдор. Российскую медицину завалили письмами с вирусами

Российские медучреждения в конце 2025 года стали мишенью целевой фишинговой кампании, замаскированной под переписку со страховыми компаниями и другими больницами. «Лаборатория Касперского» сообщила, что злоумышленники рассылали письма на десятки организаций, а во вложениях прятали бэкдор, позволяющий атакующим управлять заражённым компьютером жертвы. Об этой серии атак компания рассказала на пресс-конференции по итогам 2025 года и прогнозам на 2026-й.

Сценарии писем подбирали так, чтобы давить на рабочие процессы и вынуждать адресата действовать быстро. В одном варианте отправитель якобы от лица страховой компании пишет, что клиент недоволен лечением по ДМС и подаёт претензию, а подтверждающие документы якобы лежат во вложении, которое предлагают открыть, чтобы «мирно уладить ситуацию». В другом случае письмо выглядит как срочный запрос от медорганизации с просьбой оперативно принять пациента на специализированное лечение, и смысл тот же: заставить сотрудника без лишних проверок открыть файл.

Чтобы рассылка выглядела убедительнее, использовались домены, похожие на настоящие, с названиями реальных компаний и учреждений, но с добавленными словами на медицинскую тему, например insurance или medical. По данным «Лаборатории Касперского», такие домены регистрировали незадолго до начала рассылки, что типично для подобных кампаний: инфраструктуру создают под конкретную волну и быстро меняют при необходимости.

Во вложениях находились архивы с вредоносным ПО BrockenDoor, известным с конца 2024 года. После запуска бэкдор связывается с сервером атакующих и передаёт им первичную информацию о системе, включая имя пользователя и компьютера, версию ОС и список файлов, найденных на рабочем столе, а затем может получать команды на развитие атаки. В «Лаборатории Касперского» отмечают, что именно почтовые рассылки остаются одним из самых эффективных способов проникновения, а в 2025 году число атак с применением бэкдоров, по оценке компании, выросло на 61% год к году, поскольку такие зловреды удобны для скрытого доступа и могут использоваться для кражи конфиденциальных документов и дальнейшего распространения по сети организации.