Финансово мотивированная группировка FIN8 продолжает развивать набор инструментов BADHATCH для скрытных атак на корпоративные сети. Десятого марта 2021 года компания Bitdefender опубликовала отчёт о последних кампаниях группы. В списке пострадавших отраслей - химическая промышленность, страхование, розничная торговля и технологический сектор. Дополнительный анализ сетевых данных выявил ещё несколько серверов, которые злоумышленники применяют для управления заражёнными машинами. Среди вероятных целей - организации в Германии, Швеции и США.
Описание
BADHATCH представляет собой набор программных средств для скрытного присутствия в чужой инфраструктуре. С его помощью атакующие закрепляются на компьютере жертвы и получают возможность незаметно отдавать команды. Финансовая мотивация объясняет выбор целей: банки, страховые компании, промышленные и логистические предприятия. Доступ к платёжным системам и внутренним документам быстро превращается в деньги. Поэтому группу интересуют крупные организации с разветвлённой сетью филиалов.
Историю такой атаки удобно представить по шагам. Сначала злоумышленник получает доступ к сети, затем закрепляется в ней и только потом устанавливает инструмент для долгого присутствия. До момента обнаружения он изучает файловые хранилища, почту и документы. Работает нарушитель тихо, без заметных сбоев, чтобы не привлекать внимания службы безопасности. Заметить его можно по необычному сетевому трафику, а не по срабатыванию антивируса.
По данным аналитиков, для управления заражёнными машинами группа держит сеть серверов, которые периодически меняет. В отчёте названы два таких узла - командно-контрольные сервера (C2-сервера, то есть узлы, через которые злоумышленники передают команды заражённым компьютерам). Они и стали отправной точкой для дальнейшего поиска. Такие узлы маскируются под обычные веб-серверы, поэтому отличить их от легитимной инфраструктуры непросто.
Поиск вели по косвенным признакам. Оба известных сервера отвечали на запросы одинаковым набором служебных данных. Речь идёт о версии операционной системы и однотипном ответе веб-службы на неверный адрес. Комбинация редкая, поэтому её сочли устойчивым признаком одной инфраструктуры. Такое совпадение обнаружилось ещё на двух зарубежных площадках. Дальнейшая проверка подтвердила: на них работают те же версии программного обеспечения, что и на исходных серверах. Совпадение говорило о подготовленной площадке, а не о случайности.
Записи о сетевом трафике добавили уверенности. С 24 января по 13 марта 2021 года оба новых узла принимали повторяющиеся входящие соединения от одних и тех же организаций. Среди них логистическая компания в Германии, инженерная фирма в Швеции, банк и кредитный союз в США, а также американская инженерная компания. Соединения шли по защищённому веб-каналу, который обычно используют для передачи конфиденциальных сведений. Регулярный характер подключений говорит о работающем доступе, а не о разовой попытке взлома. Пострадавшие организации получили уведомления до публикации отчёта.
Ближе к 20 февраля 2021 года картина изменилась. Один из новых серверов начал перехватывать роль главного центра управления. Ротация помогает злоумышленникам сохранять контроль, если часть инфраструктуры попадёт под блокировку. Такой приём усложняет и поиск, и нейтрализацию. Аналитики предполагают, что прежний узел к тому моменту перестал устраивать группу.
Инфраструктура остаётся самым уязвимым местом любой хакерской группы. Серверы можно отследить, заблокировать и передать сведения о них провайдерам. Поэтому группировки постоянно переносят управление на новые площадки. Чем быстрее поставщики услуг узнают о характере трафика, тем быстрее атака теряет опору. Для обороняющейся стороны это редкость: обычно фиксируют уже случившийся инцидент, а не готовящуюся кампанию.
Последствия для бизнеса здесь вполне конкретны. Утечка клиентских данных, остановка отгрузок и простой финансовых систем обходятся дороже, чем плановая проверка инфраструктуры. Промышленные предприятия рискуют потерять доступ к производственным системам, банки - к платёжным. Логистика страдает от срыва графика поставок. При этом ущерб растёт вместе со временем, которое нарушитель остаётся незамеченным.
Отдельного внимания заслуживает выбор отраслей. Химическая промышленность и страхование редко попадают в громкие новости, хотя там сосредоточены крупные бюджеты и чувствительные данные. Розничные сети интересуют злоумышленников платёжной информацией покупателей. Технологические компании ценны исходным кодом и доступами к облачным сервисам заказчиков. Разнородность целей указывает на поиск максимальной отдачи от каждой удачной попытки.
Защита в такой ситуации строится на нескольких принципах. Сегментация сети не даёт нарушителю свободно переходить с одного узла на другой. Своевременное обновление систем закрывает известные уязвимости. Двухфакторная аутентификация затрудняет вход с украденными паролями. Наблюдение за тем, куда обращаются рабочие станции, помогает вовремя заметить чужой канал управления. Полезно также проверять, какие программы запускаются автоматически при включении компьютера.
Группа FIN8 работает ради денег и данных корпоративных заказчиков. Расширение инфраструктуры и смена основного сервера говорят о подготовке новых кампаний. Компаниям из химической, страховой, розничной и технологической отраслей стоит пересмотреть правила доступа к внутренним системам и ограничить необязательные внешние подключения. Тогда часть рисков удастся снять до того, как атака перейдёт к активной фазе.
Индикаторы компрометации
