CCTGA раскрыла десять узлов управления трояном "Серебряная лиса"

Заражение начинается с привычных действий. Человек ищет нужную программу, открывает первую ссылку в поисковой выдаче и запускает установщик. Группировка подделывает сайты загрузки популярного софта, покупает рекламу, рассылает письма от имени известных сервисов и пишет потенциальным жертвам в мессенджерах. Вредоносная программа попадает на машину вместе с полезной на вид утилитой. Пользователь при этом уверен, что скачал официальный продукт, и редко проверяет цифровую подпись файла.

Дальше злоумышленники разворачивают набор программ удалённого доступа (Remote Access Trojan, RAT - программа удалённого доступа). В материалах альянса упоминаются семейства Gh0st, Win0s и DcRat. Возможности у них схожие: доставка файлов, управление процессами, выполнение команд, наблюдение за экраном, перехват нажатий клавиш и сбор конфиденциальных данных. Иными словами, оператор такого трояна видит и делает на чужом компьютере почти всё, что делал бы владелец. Отдельно отмечается функция управления процессами: она позволяет отключать защитные механизмы прямо во время работы системы.

Опубликованный перечень охватывает десять узлов, через которые, по данным CCTGA, проходит управление заражёнными машинами. Суточный охват каждого узла - от 1049 до 3417 устройств. Суммарно речь идёт примерно о 20,5 тысячи машин ежедневно. Семь узлов размещены в Гонконге, три - в США. Самые крупные, с охватом выше трёх тысяч устройств каждый, работают на американских адресах. Доменные имена, привязанные к этим узлам, копируют написание известных ИТ-брендов с подменой одной буквы. Такой приём называется регистрацией доменов с опечатками (тайпосквоттинг), и он напрямую рассчитан на невнимательность при наборе адреса или при взгляде на ссылку в выдаче.

Разброс площадок показывает, как устроена защита группировки от блокировок. Часть узлов живёт на арендованных серверах в Азии, часть - на американских адресах, где выше скорость и ниже вероятность быстрого отключения. Управление идёт по защищённым каналам, поэтому внешне трафик заражённой машины почти не отличается от обычного. Заметить его можно по регулярным обращениям к одним и тем же внешним адресам, которые не связаны с рабочей деятельностью сотрудника.

Альянс описал порядок проверки. Сначала стоит просмотреть историю браузера, журналы обращений к системе доменных имён и сетевой трафик за последние недели. Затем - проверить недавно загруженные файлы и программы, а также список автоматически запускаемых приложений. Заражённую машину изолируют от сети, удаляют вредоносные файлы и механизмы закрепления в системе. После очистки проверяют остальные устройства в организации: обычно одна жертва указывает на несколько соседних.

Ущерб от таких кампаний выходит за рамки одного компьютера. Через троян перехватывают переписку, выгружают рабочие документы и получают доступ к внутренним системам компании. Для госсектора и промышленности это означает риск утечки служебной информации и остановки рабочих процессов. Обычный пользователь теряет доступ к личным аккаунтам и банковским сервисам. Восстановление занимает дни, а часть похищенных данных потом продают на закрытых площадках.

Меры защиты здесь не требуют сложных решений. Программы стоит устанавливать только с официальных сайтов разработчиков, а не по рекламным ссылкам. Обновления системы и защитного ПО нужно ставить сразу после выхода. Двухфакторная аутентификация ограничивает урон даже при краже пароля. Заражённые машины изолируют от сети до полной очистки, иначе они продолжат передавать данные оператору.

Инфраструктура группировки перестраивается быстро: часть узлов заменяется, домены перерегистрируются, рекламные объявления подаются заново. Сама схема при этом не меняется. Расчёт строится на доверии к поисковой выдаче и на привычке скачивать программы из первого попавшегося источника. Пока это работает, подобные кампании будут появляться снова, а список управляющих узлов - обновляться.