На данный момент () эксперты по кибербезопасности фиксируют резкое усилении активности мошенников, рассылающих вредоносные письма под видом официальной корреспонденции Федеральной службы судебных приставов (ФССП России). Главная цель атаки — заражение корпоративных сетей российских компаний трояном удаленного доступа DarkWatchman RAT.

Суть угрозы: как работает схема

Злоумышленники используют классическую, но эффективную тактику социальной инженерии. Письма маскируются под уведомления о исполнительных производствах, приказах о наложении ареста на счета или приглашениях в отдел судебных приставов.

Технические детали атаки

• Вектор проникновения: Вложение в формате .zip, .rar или .iso, внутри которого находится исполняемый файл (часто подписанный украденным или скомпрометированным сертификатом) или скрипт (JS, VBS, PowerShell).
• Незначимый размер: Троян DarkWatchman известен своим минималистичным размером (всего несколько килобайт), что позволяет ему оставаться незамеченным многими антивирусными решениями на стадии доставки.
• Функционал: После запуска вредонос устанавливает персистентность (автозагрузку через реестр или задачи планировщика), собирает системную информацию, логи нажатий клавиш (keylogging), скриншоты и обеспечивает удаленный доступ к инфраструктуре жертвы.

Признаки поддельного письма: на что обратить внимание

Мошенники стараются максимально точно копировать стиль официальных документов, однако внимательный сотрудник может выявить расхождения:

1. Адрес отправителя: Официальная почта ФССП использует домены @fssp.gov.ru или региональные поддомены (например, @.fssp.gov.ru). Фишинговые письма приходят с похожих, но фальшивых доменов: @fssp-gov.ru, @fssp-info.ru, @sud-pristav. или с компрометированных корпоративных ящиков партнеров.
2. Общие обращения: «Уважаемый директор», «Коллеги», «Почтовик». Настоящие уведомления ФССП содержат конкретные реквизиты: номер исполнительного производства, ФИО должника/взыскателя, наименование органа, выдавшего исполнительный документ.
3. Срочность и угрозы: Фразы вроде «Требуется немедленный ответ в течение 24 часов», «Счета будут арестованы сегодня», «Уголовная ответственность за неисполнение».
4. Ошибки в оформлении: Неверный бланк, отсутствие ОГРН/ИНН ФССП, искаженный логотип, ошибки в наименовании структурного подразделения (например, «Отдел судебных приставов г. *» вместо точного названия УФССП по региону).

Официальная позиция ФССП и взаимодействие с властями

В связи с эскалацией угрозы, пресс-служба ФССП России официально заявляет: ведомство не направляет исполнительные документы, уведомления или требования по электронной почте без предварительного согласия получателя и использования системы ЭДО (СБИС, Диадок, Такском и др.) или Госуслуг;

Согласно информации от 27 сентября (по данным ТАСС), мошенники возобновили массовые рассылки. В ответ на это Московские власти и судебные приставы договорились о усиленном сотрудничестве в сфере информационной безопасности. Планируется, что до конца февраля ведомства полностью перейдут на защищенные контуры информационного обмена, что исключит возможность подделки официальных уведомлений через открытые почтовые протоколы.

Рекомендации по защите для организаций

Для предотвращения инцидентов рекомендуется внедрить следующие меры:

• Технические средства: Настройка почтовых шлюзов на блокировку исполняемых файлов (.exe, .scr, .bat, .cmd, .js, .vbs, .ps1) внутри архивов; внедрение решений класса Sandbox для динамического анализа вложений; использование DMARC, DKIM, SPF для защиты от спуфинга домена.
• Обучающие фишинговые рассылки: Регулярное проведение тренировок сотрудников на реалистичных сценариях (имитация писем от ФССП, ФНС, банков).
• Политика «Нулевого доверия»: Запрет на запуск файлов из вложений писем внешних отправителей без проверки администратором ИБ.
• Мониторинг индикаторов компрометации (IoC): Добавление в SIEM/EDR хешей известных семплов DarkWatchman, IP-адресов C2-серверов (например, …) и доменов, используемых в кампании.

Что делать, если письмо открыто / файл запущен?

Если сотрудник открыл подозрительное вложение или перешел по ссылке:

1. Немедленно отключите рабочую станцию от корпоративной сети (выдерните кабель / отключите Wi-Fi).
2. Сообщите в службу информационной безопасности (тел.: +7 () —, email: security@*.ru) или системному администратору.
3. Не пытайтесь «лечить» компьютер самостоятельно антивирусом — это может уничтожить артефакты для расследования.
4. Специалисты ИБ проведут сбор образов памяти (RAM dump), диска и логов прокси/фаервола для анализа масштаба компрометации.
5. Смена паролей от всех корпоративных систем с некомпрометированного устройства.

Контакты для сообщения об инцидентах

При получении подозрительного письма от имени ФССП рекомендуется направить его (в формате .eml или .msg с заголовками) в:

• Центр мониторинга и реагирования на инциденты ФССП: cert@.fssp.gov.ru (адрес частично скрыт).
• Национальный координационный центр по инцидентам информационной безопасности (НКЦКИ): incident@.gov.ru.
• Внутреннюю службу ИБ вашей организации.