Три кластера атак на телеком-операторов, госструктуры, военные объекты и исследовательские организации работают на общем фреймворке Sparrow - наборе кода и инфраструктуры. Кампании отмечены в Латинской Америке, Азии и Европе. После проникновения в сети остаются бэкдоры, средства сбора учётных данных и инструменты закрепления.
Описание
По данным Check Point Research, кластеры получили имена SilentDelivery, OceanGate и DarkWire. Наборы инструментов у них разные, как и способы входа. Совпадают инфраструктура и фрагменты кода - это и позволило свести кампании в одну семью.
SilentDelivery ставила на легитимные сайты госструктур, судоходных и IT-компаний обфусцированный JavaScript. Скрипт подменял страницу на поддельное предупреждение Chrome об ошибке сертификата и предлагал установить «Certificate Fix». Вместо исправления загружался MSI-пакет с бэкдором, а сама полезная нагрузка лежала в скомпрометированных S3-бакетах.
Внутри пакета - SquadC, бэкдор для Windows на C и C++. Отдельный загрузчик поднимает его в памяти, без файла на диске. Бэкдор выполняет команды, работает с файлами, снимает скриншоты и собирает сведения о системе. Для закрепления он правит ключ WindowsUpdateAssist в реестре. Второй канал доставки - RAR-архив с ярлыком, который запускал штатный FTP-клиент Windows.
Кластер OceanGate начинался с компрометации Linux-сервера в интернете. Оттуда разворачивались два бэкдора: один написан на Go и умеет работать прокси и туннелем, второй собран из плагинов и способен ставить модифицированный rootkit Reptile. На Windows кластер работал набором утилит: одна создавала скрытую учётную запись администратора, другая забирала учётные данные из памяти процесса LSASS.
DarkWire выбрала телеком-операторов и госструктуры Латинской Америки. Её основной бэкдор живёт в памяти и маскирует стек вызовов, а управление идёт через DNS-запросы типа MX. Доставка шла через загрузчик и подмену DLL, для перемещения по сети использовались прокси и SoftEther VPN под чужими именами. TLS-сертификаты инфраструктуры копировали домены жертв.
Check Point не утверждает, что за всеми тремя кластерами стоит один оператор. CopperDragon описан как возможный поставщик инструментов для нескольких групп. Отчёт приводит 93 IP-адреса, домены и хеши файлов и сертификатов. Сколько организаций пострадало и как долго длились кампании, не раскрывается.
Инфраструктура SilentDelivery и OceanGate пересекается не только адресами, но и TLS-сертификатами. В отчёте приведён сертификат с истёкшим сроком действия, который использовался на C2 обеих кампаний; такой признак помогает связать серверы между собой. Для SilentDelivery также важны пути /image-check, /report-url и /register-ip, а для DarkWire - нестандартные DNS MX-запросы и DLL sideloading.
Для защиты стоит искать подозрительные JavaScript-вставки на внешних сайтах, MSI-файлы CertFixer, ключ WindowsUpdateAssist в реестре и необычные процессы, запускающие PowerShell. На Linux нужно проверять новые сервисы и бинарники в системных путях, модифицированные ssh и sshd, а также модули, загружаемые через dlopen. На Windows дополнительными признаками служат задачи и службы, созданные после запуска DLL из каталогов вроде C:\ProgramData и C:\Windows\debug, и обращения к перечисленным IP-адресам. Часть перечисленных адресов может быть переиспользована другими кампаниями.
Индикаторы компрометации
