Китайский альянс по противодействию угрозам интернет-безопасности (CCTGA) объявил о запуске адресной операции против группировки "Серебряная лиса". Эта группа известна также под именами "Юшэ" и "Гуду Дадао". Операция охватывает несколько направлений: блокирование серверов управления, работу с заражёнными устройствами, пресечение каналов распространения вредоносных образцов, оценку результата и доработку защитных механизмов. Одновременно альянс раскрыл перечень крупнейших вредоносных сетевых ресурсов, которыми пользуется группировка. Большая часть этих узлов размещается в Гонконге, два других - в Японии и США. Заявленная цель кампании - защита прав и интересов обычных пользователей.
Описание
Группировка занимается кражей данных и денег через скрытое удалённое управление чужими устройствами. На протяжении длительного времени она распространяет вредоносные программы через поддельные сайты загрузки. Кроме того, применяется продвижение в поисковых системах с помощью вредоносной рекламы. Фишинговые письма и сервисы обмена сообщениями тоже входят в набор её инструментов. Каналы меняются, однако схема остаётся прежней: пользователь сам запускает установщик. После заражения злоумышленники получают доступ к файлам, экрану и вводимым паролям. Угроза касается как частных пользователей, так и организаций.
Арсенал группы включает несколько семейств троянов, среди них Gh0st, Win0s и DcRat. Все они относятся к классу программ удалённого доступа, то есть инструментов для скрытого управления чужой машиной. Функции у них схожи: доставка новых файлов, управление процессами, выполнение команд, слежение за экраном, перехват нажатий клавиш и сбор конфиденциальной информации. Такой набор позволяет атакующим подолгу оставаться незамеченными. Для владельца устройства всё это долго выглядит как обычная работа системы.
Масштаб заражения измеряется десятками тысяч машин ежедневно. По данным CCTGA, крупнейший выявленный узел управления поддерживал связь почти с 18 тысячами устройств в сутки. Ещё три сервера контролировали от 12 до 17 тысяч машин каждый. Оставшиеся шесть узлов обслуживали от 4 до 6 тысяч устройств. Суммарно речь идёт о примерно 90 тысячах заражённых систем ежедневно. Все эти серверы принимали сигналы от заражённых машин и отдавали им команды.
География инфраструктуры охватывает три юрисдикции. Восемь серверов из десяти находятся в Гонконге, один работает в Токио, ещё один - в Калифорнии. Доменные имена злоумышленники подобрали так, чтобы вызывать доверие. Часть из них имитирует адрес Microsoft с подменой одной буквы. Другие используют сокращённое написание бренда в сочетании с цифрами. Такой приём называют тайпосквоттингом, то есть регистрацией доменов с опечатками. Разница в написании почти незаметна, особенно на небольшом экране телефона.
Типичная цепочка атаки развивается в несколько шагов. Сначала человек ищет нужную программу через поисковую систему. Затем он видит рекламное объявление и переходит по ссылке. Поддельная страница предлагает популярные программы и внешне повторяет официальный сайт разработчика. После скачивания установщик запускает на устройстве троян вместе с полезной нагрузкой. Дальше вредоносная программа связывается с командно-контрольным сервером (C2-сервером) и ожидает указаний.
Последствия заражения затрагивают и компании, и частных лиц. Злоумышленники получают доступ к переписке, документам и внутренним системам. В результате возможны утечка данных, остановка рабочих процессов и финансовые потери. Для пользователя риск выражается в краже аккаунтов и денег со счетов. Отдельная проблема - длительное незаметное присутствие трояна в сети организации. Часто компания узнаёт об инциденте спустя месяцы, когда контроль уже распространился на другие машины.
CCTGA подготовил рекомендации по проверке и очистке заражённых систем. Стоит изучить историю браузеров, запросы к системе доменных имён (DNS) и сетевой трафик. Важно искать следы посещения фишинговых страниц и обращения к подозрительным адресам. Кроме того, проверяют недавно скачанные файлы, автозагрузку и сетевые соединения. При подтверждении заражения устройство изолируют от сети. Затем удаляют вредоносные файлы и механизмы закрепления в системе. После этого проверяют остальные машины в локальной сети.
Списки индикаторов компрометации, то есть признаков заражения, следует обновлять в системах защиты и на сетевом периметре. Пользователям стоит скачивать программы только с официальных сайтов. Не нужно открывать ссылки и вложения от неизвестных отправителей. Двухфакторная аутентификация уменьшает ущерб при краже пароля.
Инфраструктура группировки охватывает несколько стран и регионов. Поэтому полностью заблокировать её не удаётся. Обмен данными об угрозах между операторами связи, компаниями и государственными структурами остаётся главным сдерживающим фактором. Совместные действия нескольких стран повышают шансы на закрытие таких узлов. Чем быстрее обновляются списки признаков заражения, тем меньше устройств попадает под контроль злоумышленников.
Индикаторы компрометации
