В конце ноября 2020 года был опубликован образец вредоносной программы, связанный с группировкой AridViper. Она же известна как APT-C-23 и GnatSpy. Публикацию сделал специалист компании Qihoo 360. Этот человек и раньше рассказывал о её операциях. Группа действует на Ближнем Востоке. Главная её цель - военные структуры Израиля. Кампании против израильских военных фиксировались не первый год. Поэтому новая находка быстро привлекла внимание профильного сообщества.
Описание
Отправной точкой стал единственный файл. Через него удалось выйти на целый узел инфраструктуры. Всего обнаружено 40 образцов вредоносного ПО. Они поддерживали связь с 13 командно-контрольными серверами. Такие серверы, или C2-серверы, служат узлами управления заражёнными машинами. Через них злоумышленники отдают команды и забирают данные. Без них любая шпионская кампания быстро теряет управляемость. Именно поэтому обнаружение управляющих узлов считается главным результатом разбора.
Начальный образец был упакованным исполняемым файлом для Windows. Его распространяли через документ, замаскированный под резюме соискателя. Скорее всего, рассылку вели в рамках целевого фишинга. Так называют письма, подготовленные под конкретного получателя. Приманка на тему трудоустройства выглядит убедительно. Кадровики и руководители открывают такие вложения не задумываясь. Запуск файла в изолированной среде показал обращение к внешнему серверу управления. От этой зацепки анализ пошёл дальше.
По данным Qihoo 360, разбор строился на поиске общих признаков между программами. Сначала проверяли, какие ещё образцы обращались к тому же серверу. Так обнаружили восемь дополнительных файлов. Затем внимание переключили на служебный файл, который вредоносное ПО создавало в системной папке. Имя этого файла содержало уникальный идентификатор. Признак оказался устойчивым. Поэтому он позволил выявить ещё 18 образцов. Дополнительно сравнивали внутреннее строение кода и сигнатуры антивирусных движков. Совпадения указывали на общий источник. Это дало ещё пять связанных программ и два новых сервера управления.
Ещё одна линия анализа касалась маскировки трафика. Обращения к серверам управления оформляли как запросы поискового робота Google. Для этого использовали стандартное обозначение известного поискового бота. Такая подмена усложняет фильтрацию подозрительной активности на периметре сети. По этому признаку выявили около 600 образцов. Затем отбор сузили до четырёх программ с характерным шаблоном обращения. Вместе с ними нашли пять новых серверов управления.
Доменные имена построены по одному шаблону. Они выглядят как имя и фамилия обычного человека. Такой приём помогает адресам не вызывать подозрений у служб безопасности. Регистрировали их через один американский сервис. Ранее исследователи уже фиксировали эту особенность у AridViper. Один адрес выбивается из общей картины. Он относится к японской сети и, вероятно, к группе не относится. Кроме того, аналитики изучили историю обращений к найденным доменам. Такие сведения собирают из открытых источников и они помогают отделить чужие узлы от инфраструктуры группы.
Разбор даёт защитникам практическую пользу. Разрозненные образцы связываются в одну кампанию. Значит, блокировка общих узлов управления выводит из строя сразу всю сеть. При этом сами программы отличаются друг от друга. Одни доставляют приманку, другие собирают сведения с заражённой машины. Объединяет их общая инфраструктура и один почерк разработки. Именно эти совпадения и позволяют говорить о единой группе.
Последствия для организаций вполне конкретны. Через такие документы злоумышленники получают доступ к переписке и внутренним файлам. Для оборонных и государственных структур это означает риск утечки сведений о проектах и персонале. Приманка в виде резюме рассчитана на сотрудников, отвечающих за подбор кадров. Через их рабочие места атакующие продвигаются дальше по корпоративной сети. Для военных ведомств цена такой ошибки особенно высока. Речь идёт о данных, которые собирают годами.
Защита строится на нескольких простых правилах. Не открывайте вложения из неожиданных писем. Даже если речь идёт об отклике на вакансию. Обновляйте операционную систему и офисные приложения. Включите двухфакторную аутентификацию для почты и корпоративных сервисов. Ограничьте исходящие соединения с рабочих станций на неизвестные узлы. Следите за появлением посторонних служебных файлов в системных папках. Эти меры не дают полной гарантии. Однако они заметно повышают стоимость атаки для злоумышленника. Для крупных организаций важна и регулярная проверка того, какие внешние адреса используют их сотрудники.
Индикаторы компрометации
