APT31 использует уязвимость нулевого дня в Chrome для кражи паролей и данных сессий

Схема начинается с письма. Целевой фишинг - подготовленные под конкретного человека сообщения - заманивает получателя по ссылке. Дальше срабатывает уязвимость межсайтового скриптинга на сайте одного из университетов. Отражённый межсайтовый скриптинг позволяет выполнить посторонний код в браузере того, кто открыл страницу. Злоумышленники используют легитимный ресурс как промежуточное звено. Посетителя незаметно перенаправляют на инфраструктуру, подконтрольную атакующим. Внешне переход выглядит безобидно, ведь исходный сайт действительно существует и пользуется доверием. Жертва не замечает подмены до момента заражения.

Как показало исследование, на компьютере жертвы запускается цепочка эксплуатации браузера. Если Chrome не обновлён до актуальной версии, туда попадает загрузчик SUPERSTOMP. Он готовит установку вредоносного расширения LONGTALE. Расширение встраивается прямо в браузер и получает доступ ко всему, что человек делает во вкладках. Отдельный процесс при этом не создаётся, поэтому постороннюю активность заметить сложнее.

Похищают широкий набор данных: учётные данные, файлы cookie, сведения о сессиях, нажатия клавиш и историю работы в браузере. Файлы cookie - небольшие текстовые метки, которые сайты сохраняют на устройстве, чтобы узнавать вернувшегося пользователя. Сессионные данные позволяют войти в аккаунт без повторного ввода пароля. Перехват таких сведений открывает доступ к почте, внутренним системам и облачным сервисам организации. Двухфакторная аутентификация помогает не всегда, потому что украденная сессия обходит проверку.

Основная цель кампании - сбор информации и наблюдение, а не быстрая финансовая выгода. Интерес сосредоточен на сотрудниках, чья переписка и документы представляют ценность. Промышленные предприятия, научные центры, государственные структуры и их подрядчики попадают в зону риска. Группировке важна не разовая кража, а длительное присутствие в чужой сети. После закрепления она может изучать внутренние документы месяцами, оставаясь незамеченной.

Легитимные площадки ценны для атакующих своей репутацией. Системы фильтрации почты и веб-трафика сверяют ссылки с чёрными списками. Известный сайт университета в такие списки не попадает, поэтому письмо проходит проверку. К тому же небольшие ресурсы часто хуже обслуживают: за обновлением второстепенных разделов следят не всегда. Ошибка на одной странице позволяет провести атаку против множества посетителей.

Такой подход отличает APT-группировки (долго действующие структуры, которые ведут целенаправленные атаки) от массовых преступников. Они подолгу готовят операцию и выбирают жертв осознанно. Уязвимость в браузере здесь особенно удобна: Chrome установлен почти на каждом рабочем месте. Обновления приходят волнами, и часть сотрудников неделями работает на устаревшей версии. Этим разрывом и пользуются атакующие.

Защита требует нескольких последовательных шагов. Браузер обновляйте сразу после появления новой версии, не откладывая перезапуск. Проверяйте список установленных расширений и удаляйте незнакомые. Включайте двухфакторную аутентификацию и отслеживайте активные сессии в важных сервисах. Сотрудников стоит научить распознавать письма, которые ведут на неожиданные страницы. Полезно ограничить права на установку расширений в корпоративной среде.

APT31 последовательно переносит инструменты в браузер. Расширение работает тише обычных исполняемых файлов и реже попадает в отчёты систем защиты. Средства мониторинга, настроенные на поиск подозрительных программ, часто пропускают такую активность. Отсюда общий сдвиг: группировка всё реже применяет классические вредоносные файлы и всё чаще полагается на веб-технологии. Браузерная полезная нагрузка даёт устойчивое наблюдение при меньшем числе следов.

Модель работы группировки остаётся гибкой. После получения доступа она не спешит разворачивать тяжёлые инструменты и обходится средствами самого браузера. Такой подход снижает риск обнаружения и упрощает закрепление в системе. Требования к ресурсам тоже падают: для кражи данных уже не нужны сложные механизмы удалённого управления.

Дальше стоит ждать развития этого направления. Группировка продолжит искать окна между раскрытием ошибок и выходом исправлений. Схемы доставки через взломанные легитимные сайты и подготовленные письма станут изощрённее. Организациям придётся учитывать, что основным источником утечки становится браузер сотрудника, а не отдельная вредоносная программа.