Специалисты по информационной безопасности обратили внимание на вредоносную программу, которая распространяется под видом обновления ViPNet Client. Это средство криптографической защиты информации широко применяется в российских организациях. В результате пользователи доверяют запросу на установку "патча" и запускают файл вручную. Фактически при запуске на систему ставится бэкдор - программа, открывающая злоумышленнику скрытый доступ к компьютеру.
Описание
Вредоносная программа после установки получает возможность выполнять команды, собирать содержимое файловой системы и закрепляться в системе. Использование имени легитимного продукта - это известная техника маскировки из перечня MITRE ATT&CK. Она позволяет обойти автоматические фильтры, которые проверяют файлы по цифровой подписи и репутации. Кроме того, атака не требует эксплуатации уязвимостей, поскольку пользователь сам запускает вредоносный код.
Главный риск связан с тем, что инструмент работает внутри периметра под видом легитимного ПО. Злоумышленник получает возможность бокового перемещения между узлами и последующей эксфильтрации данных. При этом аномалии сложно заметить: процессы и сетевые соединения бэкдора могут не выделяться на фоне обычной активности ViPNet. Дополнительно усложняет ситуацию то, что сотрудники доверяют обновлениям и не сообщают о них в службу безопасности.
Для защиты необходимо проверять подлинность обновлений и контролировать целостность установленных файлов. Стоит ограничить права на запуск обновлений, а также обращать внимание на необычные сетевые соединения. Использование песочниц (изолированных сред) для тестирования обновлений и регулярные аудиты снижают вероятность установки вредоносного кода. Даже при успешной атаке сегментация сети и многофакторная аутентификация затрудняют боковое перемещение.
Индикаторы компрометации
