С июля по сентябрь 2023 года специалисты компании Trend Micro зафиксировали новую волну атак, связанных с вредоносной кампанией DarkGate. Злоумышленники активно использовали популярные платформы для обмена сообщениями, такие как Skype и Microsoft Teams, а также сервисы вроде SharePoint для распространения вредоносных скриптов. Основной целью атак стали организации в США, Азии, на Ближнем Востоке и в Африке.
Описание
DarkGate, ранее не проявлявший особой активности, в этом году вернулся с обновленными методами атак. Как отмечают эксперты, злоумышленники используют взломанные учетные записи Skype, чтобы отправлять жертвам файлы, замаскированные под безобидные документы. Например, файл с именем filename.pdf www.skype[.]vbs на самом деле оказывается вредоносным VBS-скриптом. Пробелы в названии создают иллюзию PDF-документа, что увеличивает шансы на успешное заражение.
В одном из случаев атака началась с того, что злоумышленник, получивший доступ к учетной записи Skype сотрудника доверенного поставщика, встроил вредоносный скрипт в переписку. После выполнения VBA-скрипт создавал случайную папку, копировал легитимный curl.exe и использовал его для загрузки AutoIt3 - инструмента, который затем запускал вредоносный скрипт .AU3 с удаленного сервера.
Аналогичная схема применялась и в Microsoft Teams, где злоумышленники отправляли ссылки на вредоносные файлы .LNK, замаскированные под документы. В отличие от Skype, где файлы выдавались за PDF, в Teams использовались ярлыки, ведущие к исполнению вредоносного кода. Trend Micro также обнаружили третий способ доставки - через сжатые файлы на SharePoint. Жертвам предлагалось загрузить архив с названием Significant company changes September.zip, внутри которого находились .LNK-файлы, имитирующие корпоративные документы.
После запуска таких файлов система выполняла цепочку команд, загружая VBS-скрипт, который, в свою очередь, копировал curl.exe, использовал его для получения AutoIt3 и финальной полезной нагрузки DarkGate. Этот многоэтапный подход позволяет злоумышленникам обходить базовые средства защиты, поскольку легитимные инструменты вроде curl и AutoIt не вызывают подозрений у антивирусов.
Эксперты предполагают, что компрометация учетных записей могла произойти из-за утечки данных на подпольных форумах или в результате предыдущих атак на организации. Рост активности DarkGate в 2023 году указывает на то, что злоумышленники адаптируют свои методы под современные корпоративные коммуникации, делая ставку на социальную инженерию и доверительные отношения между сотрудниками.
Компании, использующие Skype, Teams и SharePoint, должны усилить защиту, внедрив многофакторную аутентификацию, ограничив прием сообщений от внешних отправителей и обучая сотрудников распознаванию фишинговых атак. Кроме того, важно блокировать выполнение скриптов из временных папок и отслеживать подозрительную активность, связанную с curl и AutoIt. В противном случае DarkGate и подобные угрозы продолжат использовать уязвимости в корпоративных коммуникациях для скрытого внедрения вредоносного кода.
Индикаторы компрометации
