Хактивисты из группировки 4BID расширяют географию атак: под ударом Казахстан, ОАЭ и Египет

В центре внимания оказалась группировка 4BID, действующая вместе со смежными группами Hakerskii Kit, С.А.S. и Goffee. Ранее их жертвами становились в основном российские и белорусские организации. Однако последние наблюдения показывают, что география расширилась. Исследователи зафиксировали заражения в инфраструктуре авиакомпании из Казахстана, больницы в Египте, а также организаций из ОАЭ и Сирии. По данным экспертов, злоумышленники сами признали, что атаковать Россию стало невыгодно.

Технический анализ показал, что в большинстве случаев начальное проникновение происходит через уязвимость ProxyShell в Microsoft Exchange. Она позволяет полностью скомпрометировать сервер. После этого злоумышленники размещают веб-шелл под названием fd.aspx - модульное приложение для удалённого управления файлами и сбора данных. Оно проверяет ключ доступа в запросе и при успехе выполняет команды через PowerShell или cmd.exe. Веб-шелл также умеет передавать файлы в обе стороны, используя кодировку Base64, и собирает информацию о системе: версию ОС, имя хоста, имя пользователя, данные о дисках и процессах.

Отчёт "Лаборатории Касперского" описывает, что сразу после закрепления на сервере атакующие запускают скрипты на украинском языке. Некоторые из них, судя по коду, сгенерированы нейросетями и содержат ошибки. Скрипты развёртывают легитимные утилиты удалённого мониторинга и управления (RMM): AnyDesk, Panorama9, Microsoft Dev Tunnels. Эти программы маскируются под штатные службы Windows, например, переименовываются в "Windows Update Helper". Отдельный скрипт создаёт скрытую учётную запись локального пользователя, добавляет её во все группы, настраивает RDP и открывает порт 3389. После завершения всех действий скрипты очищают журналы событий, временные файлы и удаляют сами себя.

Помимо легитимного ПО, злоумышленники используют постэксплуатационные фреймворки. Среди них - Sliver, Havoc, Apollo Mythic и Adaptix. Например, Sliver загружается через самодельный загрузчик backupagnt.exe, который инжектирует полезную нагрузку в память процесса. Все экземпляры Sliver связывались с командным сервером по адресу 185.221.153.121. Ещё один обнаруженный фреймворк - AdaptixC2 с беконом типа BEACON_HTTP, который умеет выполнять команды, работать с файлами, перенаправлять трафик через SOCKS и загружать модули BOF. Конфигурация агента зашифрована алгоритмом RC4.

Особого внимания заслуживает ранее неизвестный бэкдор BlackSalt. Он написан на VBS и представляет собой классическую обратную оболочку. Бэкдор подключается к серверу управления 45.150.109.2, получает команды и исполняет их через cmd.exe. Установка происходит через самораспаковывающийся архив с помощью легитимной утилиты WinSW.

Для нейтрализации антивирусных решений хактивисты применяют EDR-киллеры - программы, останавливающие процессы защиты. Они используют технику BYOVD (принеси свою уязвимую утилиту). Один из инструментов - модифицированная версия проекта GhostDriver, который загружает в ядро уязвимый драйвер RentDrv2 (CVE-2023-44976) и через него завершает процессы безопасности. В списке целей - десятки процессов, включая MsMpEng.exe (Microsoft Defender), avp.exe ("Лаборатория Касперского"), Sysmon, Elastic Agent и другие. Впрочем, разработчики заявляют, что их продукты устойчивы к таким атакам.

В ходе кампаний обнаружены две новые программы-вымогатели. Первая - ClearWater, написана на C++ с использованием библиотеки libsodium. Она шифрует файлы алгоритмом ChaCha20, а ключ шифрует RSA-2048. Зашифрованным файлам присваивается расширение .clear. Вымогатель удаляет теневые копии томов, отключает восстановление системы и меняет обои рабочего стола. Интересно, что в коде есть неиспользуемая функция для завершения всех процессов, кроме заранее заданного белого списка.

Вторая - обновлённая версия Blackout Locker, ранее описанная "Лабораторией Касперского" в русскоязычном отчёте. Её нововведение - модуль блокировки экрана. Вредоносная программа создаёт файл README.txt с текстом требования, а затем устанавливает блокировщик в автозагрузку через ярлыки в папке Startup. Даже если жертва введёт верный пароль, окно блокировки появляется снова, так как соответствующая задача не удаляется. Текст требования может быть на английском или русском языке; при неподдерживаемой кодировке отображаются кракозябры.

География атак расширяется, а мотивы смещаются от политических к финансовым. Использование программ-вымогателей и коммерческих инструментов удалённого управления указывает на то, что хактивисты стремятся получить выгоду. Это повышает риски для организаций за пределами традиционного фокуса групп. Для защиты необходимо отслеживать новые тактики злоумышленников, а также внедрять системы мониторинга, способные выявлять как вредоносное ПО, так и подозрительные действия легитимных утилит.