В июле 2020 года Национальный центр кибербезопасности Великобритании (NCSC) выпустил отчёт о кампании группировки APT29. Целью атаки стали организации, работающие над вакциной от COVID-19. Отчёт упоминал исследовательские центры в Великобритании, США и Канаде. Несколько недель спустя независимая проверка выявила ещё три узла, связанных с этой кампанией. В официальном документе они не фигурировали.
Описание
Пандемия резко изменила условия работы. В апреле 2020 года Всемирная организация здравоохранения сообщила о пятикратном росте числа кибератак. Интерпол за первый квартал насчитал более 48 тысяч вредоносных ссылок, связанных с COVID-19. Число мошеннических писем и поддельных сайтов резко выросло. Люди искали сведения о вирусе и легко попадались на уловки. Одновременно миллионы сотрудников перешли на удалённый режим. Корпоративная сеть перестала быть единым периметром. Теперь она распределена по десяткам и тысячам домашних офисов, а также по личным устройствам сотрудников.
Дополнительную нагрузку дала бытовая техника. Сотрудники работают с личных ноутбуков и домашних маршрутизаторов, где нет корпоративных средств защиты. На этом фоне вырос интерес злоумышленников к сервисам видеосвязи. Они также охотились за учётными данными для подключения к корпоративным сетям через виртуальные частные сети (VPN). Потеря такого доступа позволяет атакующему действовать внутри сети.
Такое расширение границ создало проблемы для служб безопасности. Инструменты, которые хорошо работали внутри офисной сети, потеряли эффективность за её пределами. Многие компании лишились прежнего обзора событий. При этом злоумышленники не изменили привычек. Группировки по-прежнему применяют одни и те же приёмы. Они арендуют те же хостинговые площадки и эксплуатируют те же уязвимости. Часть из них остаётся без исправлений месяцами, а иногда и годами. Следовательно, средства наблюдения за внешним периметром стали нужнее, чем когда-либо.
Именно так удалось найти новые узлы. По данным Augury, отправной точкой стал открытый отчёт NCSC с перечнем индикаторов компрометации. Затем аналитики исключили из выборки все известные адреса и посмотрели, что осталось. Проверка заняла считанные минуты. Так обнаружились три сервера, не названные в документе. Все они использовали тот же признак в цифровых сертификатах, что и остальные узлы кампании. Речь идёт о документах стандарта X.509, которые подтверждают подлинность защищённых соединений.
Ключевая деталь такова. APT29 повторно применяла определённые поля сертификата при создании новых командных серверов. Через такие серверы управляют заражёнными машинами и передают им задания. Проще говоря, атакующие оформляли каждый новый узел по одному и тому же образцу. Для защитников это полезный сигнал. Если инфраструктура строится по шаблону, шаблон можно распознать. Тогда о следующей волне серверов станет известно до того, как её задействуют.
Найденные узлы не использовали тот же сетевой порт, что и остальные адреса из отчёта. Поэтому их удалось выделить отдельно. Кроме того, платформа позволила оценить активность этих серверов: с кем они поддерживали связь и какие порты открывали. Такие сведения помогают понять, готовится ли новая атака или инфраструктура пока простаивает. Наблюдение можно поставить на автоматическую проверку. Тогда новые адреса будут появляться в отчётах без ручного поиска.
APT29 - давняя группировка. Ряд западных ведомств связывает её с российскими спецслужбами. Кампания против разработчиков вакцины получила названия WELLMESS и WELLMAIL по именам используемых инструментов. Отдельные эпизоды касались производителей лекарств и центров вакцинации. Основная задача таких атак - не разовая кража документов. Речь идёт о систематическом сборе исследовательских данных. Кроме того, возможен срыв сроков разработки и репутационные потери. Вакцина давно стала геополитическим ресурсом. Поэтому интерес государственных группировок к этой теме вряд ли ослабнет в ближайшее время.
Важна и другая сторона вопроса. Методика, показанная в этом примере, применима не только к APT29. Тем же способом аналитики отслеживали новые кампании программ-вымогателей. В их числе Maze и Avaddon. Так же отслеживали изменения инфраструктуры групп Winnti и ботнета (сети заражённых устройств) Phorpiex. Общий принцип один. Инфраструктура атакующих редко создаётся с нуля. Чаще всего она переиспользует уже существующие элементы: сертификаты, домены, адреса, настройки серверов. По одному признаку можно найти другие связанные узлы.
Практические меры для организаций выглядят так. Прежде всего стоит регулярно обновлять программное обеспечение и закрывать известные уязвимости. Далее полезно включить многофакторную аутентификацию для удалённого доступа. Кроме того, имеет смысл следить за появлением новых узлов, похожих на уже известные. Такой мониторинг настраивается как регулярная задача с ежедневной или еженедельной проверкой. Отдельного внимания требует управление доступом. Уволенные сотрудники и подрядчики не должны сохранять рабочие учётные записи.
Для удалённых сотрудников правила остаются прежними. Стоит внимательно относиться к письмам, проверять отправителя и не переходить по подозрительным ссылкам. Однако главный вывод этой истории касается другого. Рабочие места сотрудников давно находятся за пределами офиса, и защита должна учитывать это. Наблюдение за внешней инфраструктурой перестало быть дополнительной опцией. Теперь это базовая часть повседневной работы службы безопасности.
Индикаторы компрометации
