В конце августа произошли две атаки, в которых сотрудников компаний убеждали обновить программу для чтения PDF-файлов. Вместо обновления люди устанавливали средство удалённого управления. В итоге злоумышленник получал постоянный доступ к рабочему компьютеру. Обе атаки начинались с обычного электронного письма. Жертву под разными предлогами подталкивали перейти по ссылке. Далее следовала цепочка поддельных страниц, оформленных под известный бренд. Пострадали рядовые сотрудники, а не технические специалисты. Именно поэтому обман сработал. Люди привыкли доверять знакомым названиям и не проверяют каждый адрес. Риск касается компаний любого размера.
Описание
Первый шаг выглядит привычно. Человек получает письмо со ссылкой и открывает его. Переход ведёт на страницу с проверкой, похожей на защиту от роботов. На самом деле это уловка. Она заставляет пользователя совершить простое действие и двигаться дальше. Затем появляется страница с предложением посмотреть документы. Однако файлы на экране размыты. Всплывающая подсказка требует скачать новую версию программы Adobe для просмотра PDF. Так злоумышленники опираются на доверие к знакомому названию. В одном случае письмо пришло на почту в сервисе Gmail. В другом - через корпоративный мессенджер крупного оператора связи. Отдельная деталь касается оформления. Страница выглядит аккуратно и внушает доверие. Ничто не выдаёт подделку с первого взгляда.
На экране возникало окно, неотличимое от настоящего браузера. По данным Huntress, внутри него находились адресная строка, значок замка и другие элементы оформления. Адрес выглядел как официальный ресурс Adobe. На деле это окно рисовалось прямо внутри веб-страницы. Приём называют browser-in-the-browser, то есть поддельное окно браузера внутри страницы. Он обходит привычную проверку адресной строки. Пользователь видит знакомое имя, но фактически находится на чужом сайте. Раньше подобный обман встречался редко. Теперь его применяют всё чаще. Поэтому прежние правила проверки ссылок теряют надёжность. Именно поэтому обучение сотрудников само по себе уже не гарантирует защиту.
После нажатия кнопки просмотра начиналась загрузка файла. Он выдавался за установщик Adobe. В действительности это была программа ScreenConnect. Это законный инструмент для удалённого управления компьютерами. Им пользуются системные администраторы по всему миру. Сама по себе такая программа полезна и законна. Проблема в том, кто и с какой целью её устанавливает. Злоумышленники применили её в своих интересах. Они развернули сразу две независимые копии программы. Каждая работала как системная служба. Это давало атакующим устойчивое подключение к устройству жертвы. Обе копии связывались с серверами, подконтрольными злоумышленникам. Один из них маскировался под пробный ресурс того же сервиса.
Вторая копия служила для запуска вспомогательных утилит. Одна из них прятала курсор мыши. Другая скрывала видимые следы работы на экране. Так злоумышленники старались остаться незамеченными. Чем меньше признаков активности видит сотрудник, тем позже он заметит проблему. За это время атакующий успевает изучить сеть. Он может искать ценные документы, учётные данные и доступы к другим системам. Атакующий действует тихо и не спешит. Сначала он изучает инфраструктуру, затем определяет, какие данные стоит похитить. Последствия для бизнеса зависят от того, что именно удастся найти. Возможны утечка данных, простой в работе и финансовые потери.
В одном из эпизодов встроенная защита Microsoft обнаружила подозрительную команду. Она пометила её как вредоносную. Однако остановить запуск не удалось. Вредоносная программа всё равно завершила установку. Дублирование каналов даёт злоумышленнику запас прочности. Если одну копию найдут и удалят, вторая останется. Поэтому атакующие часто создают несколько путей доступа одновременно. Этот приём усложняет работу защитных средств. Даже успешное срабатывание антивируса не всегда означает, что угроза устранена. Поэтому организации стоит проверять систему целиком после любого срабатывания защиты.
Обе описанные атаки удалось прервать на ранней стадии. Пострадавшие организации получили рекомендации удалить посторонние программы. Пока рано судить о масштабе кампании. Тем не менее схема отражает устойчивую тенденцию. Злоумышленники применяют социальную инженерию на каждом шаге, а не только в первом письме. Они всё чаще берут на вооружение легальные инструменты. Такие программы не вызывают подозрений у защитных систем. Кроме того, знакомые сотрудникам бренды повышают доверие к подделке. Вредоносные файлы размещаются на облачных хранилищах. Это тоже снижает настороженность. Легитимные сервисы сами по себе не являются угрозой. Однако ими удобно прикрывать доставку чужого кода.
Защита требует сочетания обучения сотрудников и технических мер. Людей стоит научить настороженно относиться к внезапным предложениям обновить программы. Скачивать обновления следует только с официальных сайтов. Компаниям важно ограничить круг сотрудников, которые могут устанавливать средства удалённого управления. Полезно вести учёт разрешённых программ этого класса. Полезно также проводить регулярные проверки на предмет посторонних служб. Отдельного внимания заслуживают новые и неучтённые подключения. Также стоит отслеживать запуск исполняемых файлов из папки загрузок. Если сотрудник всё же запустил сомнительный файл, важно быстро изолировать устройство. Если один канал доступа заблокирован, проверку нужно продолжать. Удаление единственного найденного инструмента не гарантирует безопасность. Ключевое правило простое: любое неожиданное предложение скачать файл стоит перепроверить.
Индикаторы компрометации
