Российские хакеры атакуют Signal: как сохранить безопасность мессенджера?

Чтобы скомпрометировать учетные записи Signal через функцию привязки устройств, подозреваемая российская шпионская группа UNC5792 (частично совпадает с UAC-0195, отслеживаемой CERT-UA) изменила страницы приглашений в группе Signal и использовала их в фишинговых атаках.

Как работает атака?

1. Жертва получает приглашение в группу Signal, которое выглядит вполне легитимно.
2. На самом деле страница содержит вредоносный редирект, который ведет не в группу Signal, а на URL-адрес, привязывающий ее учетную запись к устройству UNC5792.
3. Вредоносный JavaScript-код заменяет стандартное перенаправление в группу Signal на URI-команду привязки нового устройства (sgnl://linkdevice?uuid=).

Таким образом, жертва не подозревает, что ее Signal аккаунт уже взломан и злоумышленники получают доступ ко всем ее будущим сообщениям.

Помимо целевых атак с привязкой дополнительных устройств к учетным записям жертв в Signal, региональные хакерские группировки также используют различные методы для кражи файлов баз данных Signal с устройств на Android и Windows.

APT44 и кража сообщений Signal через WAVESIGN

APT44 применяет WAVESIGN — это легкий Windows Batch-скрипт, который периодически получает сообщения из базы данных Signal на Windows-устройства и передает их на сервер злоумышленников с помощью утилиты Rclone.

Infamous Chisel — Android-шпионское ПО Sandworm

В 2023 году СБУ и Национальный центр кибербезопасности Великобритании (NCSC) сообщили, что вредоносное программное обеспечение Infamous Chisel, которое связывают с хакерской группой Sandworm, было создано для взлома телефонов на Android и похищения данных из мессенджеров, в частности Signal.

Turla — кража сообщений из Signal Desktop через PowerShell

Хакерская группа Turla, которую США и Британия связывают с ФСБ РФ, использовала специальный PowerShell-скрипт, чтобы собирать сообщения с Signal Desktop и передавать их злоумышленникам после заражения компьютера.

UNC1151 (Беларусь) и похищение данных из Signal Desktop через Robocopy

Белорусская группировка UNC1151, действующая в интересах российских силовых структур, использовала утилиту Robocopy в командной строке, чтобы получить доступ к файловым директориям Signal Desktop, где хранятся сообщения и вложения. Похищенные данные хранились для дальнейшей передачи злоумышленникам.

Эти методы демонстрируют, что атаки на Signal не ограничиваются только привязкой устройств — злоумышленники активно разрабатывают и применяют вредоносное ПО для похищения конфиденциальных сообщений с инфицированных устройств.

Кибератаки российских хакерских группировок на Signal и другие мессенджеры подчеркивает растущие угрозы для частной коммуникации. Использование коммерческого шпионского ПО и мобильного вредоносного кода в условиях геополитических конфликтов только усиливает необходимость в безопасном и независимом решении для обмена сообщениями.

Поскольку атаки направлены не только на Signal, но и на WhatsApp и Telegram, пользователям следует придерживаться основных мер кибербезопасности. Однако для бизнеса, государственных учреждений и организаций критически важно иметь гарантированно безопасный канал связи, независимый от крупных технологических корпораций.

Threema Work — это полностью зашифрованный мессенджер, который гарантирует безопасность корпоративной коммуникации и защищает данные от несанкционированного доступа.

Основные преимущества Threema Work:

• Полное сквозное шифрование, включая чаты, голосовые/видеозвонки и обмен файлами.
• Отсутствие привязки к номеру телефона или email — избегайте сбора персональных данных.
• Строгое соответствие GDPR и Федеральному закону Швейцарии о защите данных.
• Контроль доступа и администрирования — возможность конфигурировать политики безопасности для компаний.
• Отдельное профессиональное и личное общение — минимизация риска утечки данных.
  Автоматизация процессов и интеграция с корпоративными системами.

Threema Work — выбор компаний, которые заботятся о безопасности своих данных.