DarkSword: утёкшая iOS-эксплойт-цепочка расползается через сотни фальшивых облачных порталов

Самый свежий оператор, предположительно китайскоязычный, управляет более чем сотней веб-сайтов. Почти все они имитируют страницу входа в AWS - популярное облачное решение, которым пользуются тысячи компаний. Серверы этой сети сосредоточены в Гонконге, отдельные узлы находятся в Японии, США и Европе. Инфраструктура постоянно меняется: хосты появляются и исчезают в течение нескольких дней, что сильно затрудняет блокировку по спискам адресов.

Техника атаки построена на социальной инженерии. Жертва переходит на поддельную страницу входа в AWS или на сайт с приманкой, затем оказывается на скрытой промежуточной странице, которая молча загружает на устройство набор эксплойтов. В случае успеха вредоносное ПО запускает модули сбора данных: извлекает пароли из связки ключей, содержимое хранилища iCloud и данные Wi-Fi. Исследование Censys показало, что одна и та же страница входа в панель администратора встречается на семи серверах в трёх странах, при этом состав серверов обновляется еженедельно, а сама страница остаётся неизменной. Это позволяет отслеживать оператора точнее, чем по доменам или IP-адресам.

После сбора данные упаковываются и отправляются на серверы, которыми управляет оператор. Он заходит в панель управления, просматривает украденные файлы и пароли. Затем вредоносное ПО удаляет следы: стирает записи о работе, создаёт видимость нормального состояния системы и завершает свою активность. Такой подход почти не оставляет материала для классической криминалистики.

В ходе анализа инфраструктуры исследователи обнаружили несколько примечательных деталей. Во-первых, на одном из хостов в Гонконге впервые совмещены фишинговая страница, имитирующая вход в аккаунт Apple ID, и техническая площадка для загрузки эксплойтов. Раньше эти функции никогда не использовались вместе, что указывает на эволюцию тактики оператора. Во-вторых, в Сингапуре непродолжительное время работал сервер, где одновременно размещались панели двух разных наборов эксплойтов - DarkSword и более старого Coruna. Coruna, по данным Google Threat Intelligence Group, ранее применялась для атак на украинские цели. Такое соседство говорит о том, что оператор хорошо знаком с арсеналом инструментов и не боится комбинировать их.

Показательна и другая находка. В открытом доступе оказался каталог на сервере во Франкфурте, где хранились рабочие инструменты оператора: утилиты для автоматизированного поиска уязвимостей в содержимом сайтов, а также файлы с именем пользователя и названием машины, на которой они были созданы. Это одна из редких утечек, позволяющая не просто увидеть код эксплойта, а заглянуть в операционную рутину злоумышленника.

При этом значительная часть инфраструктуры кластера не содержит реального вредоносного кода. Согласно данным выборочного сканирования ста веб-ресурсов, у сорока девяти не было ни одного файла, связанного с эксплойт-цепочкой, - только внешняя оболочка. Это означает, что оператор использует дешёвые домены-приманки как запасные площадки, а не как постоянную боевую сеть. Защитникам важно учитывать: наличие подозрительного сайта вовсе не означает, что с него прямо сейчас распространяется атака.

Рекомендации для компаний и пользователей остаются стандартными, но критичными. Инфраструктурные команды должны регулярно сканировать свои внешние ресурсы на наличие страниц входа, идентичных тем, что используются в панелях DarkSword. Censys предоставляет готовый язык запросов для поиска подобных угроз, и обновлять такие запросы следует не реже одного раза в неделю, потому что хосты и домены оператора меняются быстрее, чем любые статические списки.

Для конечных пользователей главная защита - обновлять iOS до актуальной версии, поскольку Apple выпускает исправления для уязвимостей из цепочки DarkSword в последних релизах. Также следует с осторожностью относиться к страницам входа в облачные сервисы: если адрес сайта вызывает сомнения, лучше ввести логин и пароль только после ручной проверки домена. Оператор DarkSword уже продемонстрировал, что готов подделывать даже такие крупные бренды, как AWS и Apple, поэтому подозрительность - осознанная необходимость.