Новая волна фишинговых атак использует легитимную платформу удаленного управления Faronics Deploy, чтобы обманом заставить пользователей установить вредоносное ПО, замаскированное под рабочие документы. Мошенники рассылают письма от имени отправителей налоговых бумаг, счетов, финансовых отчетов и приглашений, а после установки получают полный контроль над устройством. Жертва самостоятельно запускает подписанный установщик, поэтому стандартные антивирусные решения не воспринимают его как угрозу.
Описание
Цепочка атаки начинается с фишингового сообщения, которое побуждает получателя перейти по ссылке. На открывшейся странице выполняется сбор технических параметров браузера и компьютера: разрешение экрана, часовой пояс, язык, возможность сенсорного ввода. Эти данные отправляются на сервер злоумышленников, после чего система решает, показывать ли вредоносный сценарий. Если устройство не похоже на аналитическую песочницу, пользователь видит поддельный интерфейс загрузки документа - в стиле Adobe, Zoom или сервисов просмотра PDF.
Впрочем, часть посетителей вместо вредоносной цепочки получает безобидную имитацию сайта банка, а посетители с мобильных устройств направляются на страницу с сообщением об ошибке. Такой подход позволяет атакующим скрытно отсеивать исследователей и автоматические системы анализа, повышая шансы на успех среди реальных жертв. После нажатия кнопки "Скачать документ" появляется поддельное уведомление об устаревшем плагине Adobe, которое рекомендует запустить скачанный файл.
По данным Huntress, с 21 июля по 20 августа более 457 конечных точек столкнулись с подобными приманками. Исследователи зафиксировали всплеск фишинговых страниц, маскирующихся под деловые документы, и уже 5 августа уведомили Faronics о злоупотреблении её платформой. Вендор оперативно отреагировал на сообщение и внедрил дополнительные механизмы защиты. В результате уже с 21 августа количество инцидентов резко пошло на убыль, что говорит об эффективности совместной работы.
Вместо традиционного вредоносного загрузчика кампания убеждает человека выполнить легитимный установщик Faronics Deploy. Пользователь думает, что открывает финансовую справку или обновление для просмотра документов, однако на самом деле включает в систему агент удаленного управления. Установка происходит с правами администратора, после чего оборудование попадает под контроль злоумышленников. Атакующие получают доступ к штатной функции развертывания ПО и могут запускать на зараженной машине произвольные команды без дальнейших действий со стороны жертвы.
После закрепления в системе злоумышленники применяют Faronics Deploy для удаленного выполнения команд PowerShell. Через внешние хранилища, включая публичные репозитории, они скачивают дополнительные сценарии. На следующем этапе эти сценарии устанавливают ScreenConnect - ещё один легальный инструмент удаленного администрирования. Таким образом мошенники создают второй, резервный канал управления, который выглядит как обычная ИТ-активность. Подобное сочетание доверенных программ серьезно затрудняет обнаружение вторжения, поскольку всё происходящее не выбивается из привычной картины работы корпоративных систем.
Отличить вредоносную установку Faronics Deploy от санкционированной непросто, но возможно. Ключевым уликой служит журнал ScriptRunner.log, который сохраняется на диске даже после того, как исходные команды удалены. В этом файле можно найти адреса внешних ресурсов, откуда загружались сценарии, а также названия выполненных файлов. Ещё одним полезным индикатором выступает идентификатор ck, присваиваемый каждому развертыванию Faronics. С его помощью можно выявить все устройства, подключенные к одной мошеннической инфраструктуре, даже если сами установщики постоянно меняются.
В Faronics подтвердили, что злоумышленники регистрировали учетные записи от имени подставных компаний, использовали поддельные домены и взломанные аккаунты законных организаций. Вендор начал блокировать подозрительные регистрации и активно предупреждать фирмы, чьи учетные записи могли быть скомпрометированы. Такая реакция помогла не только остановить текущую волну, но и создать прецедент для будущего взаимодействия между исследователями безопасности и разработчиками программного обеспечения.
Организациям, обнаружившим неожиданную установку Faronics Deploy, следует действовать незамедлительно. Прежде всего необходимо изолировать затронутые устройства, чтобы предотвратить дальнейшее выполнение скриптов и загрузку дополнительных инструментов. Затем стоит изучить журналы Faronics и обратить внимание на упоминания внешних URL-адресов, подозрительных команд и признаков установки ScreenConnect или аналогичного программного обеспечения. Логи следует сохранить до удаления программ, так как они могут понадобиться для расследования.
После сбора доказательств рекомендуется удалить несанкционированно установленные агенты удаленного управления и проверить, не созданы ли в системе дополнительные механизмы закрепления. Если есть основания полагать, что злоумышленники получали интерактивный доступ или похищали учетные данные, необходимо сбросить пароли затронутых пользователей. Обо всех подозрительных случаях стоит сообщать напрямую в Faronics - компания подтвердила готовность оперативно разбирать инциденты, связанные со злоупотреблением её сервисами.
Случай с Faronics Deploy демонстрирует устойчивую тенденцию киберпреступников к использованию легитимного программного обеспечения для скрытого проникновения в корпоративные сети. Все больше атак строится не на сложных эксплойтах, а на социальной инженерии и доверии к подписанным приложениям. Пользователям важно помнить, что даже официально выглядящие письма с просьбой открыть вложение или перейти по ссылке могут оказаться ловушкой. Особенно настороженно следует относиться к неожиданным уведомлениям об обновлениях и документам, требующим немедленного запуска файлов.
Индикаторы компрометации
