Неприметный установщик, который защитные средства годами принимали за обычный рекламный мусор, на деле работал в составе крупной киберпреступной операции. Её отслеживают под обозначением CL-CRI-1171. Операция работала незаметно как минимум два года. За это время через неё прошли тысячи заражений в разных странах. Организаторы не применяли сложных приёмов обхода защиты. Они сделали ставку на другое. Их инструмент выглядел настолько обыденным, что не вызывал лишних вопросов у служб безопасности. Именно в этом и состоял замысел.
Описание
Основной аудиторией кампании стали молодые геймеры. Злоумышленники содержали одиннадцать каналов на видеоплатформе YouTube с сотнями тысяч подписчиков. Ролики выглядели полезными. В них рассказывали, как повысить частоту кадров, исправить сбои в играх и правильно настроить игровые платформы. Контент был настоящим и живым. Однако в описаниях видео размещались ссылки на "оптимизаторы" и "ускорители". После перехода по ним пользователь попадал на промежуточные страницы. Там его убеждали скачать архив с нужной программой. Внутри архива находился вредоносный установщик. О выявленных каналах уведомили YouTube, и платформа удалила их оперативно.
Второй канал распространения был нацелен на профессионалов. По данным Unit 42, здесь применялось отравление поисковой выдачи. Человек искал легальную утилиту и переходил по первой ссылке. Затем он попадал на страницу загрузки с имитацией проверки на вирусы. Успокоившись, он скачивал поддельный установщик. Такие заражения обнаружили в корпоративных сетях. Среди пострадавших оказались объекты критической инфраструктуры и государственные организации. Это уже не единичные случаи, а устойчивая схема.
Обе схемы опирались на общую инфраструктуру. В её основе лежит модель оплаты за установку. Работает она так. Оператор заражает компьютеры и продаёт доступ к ним разным покупателям. Каждый покупатель устанавливает собственную полезную нагрузку. В результате на одной машине оказывается несколько независимых вредоносных программ. У каждой свой управляющий сервер и свои задачи. При этом сам загрузчик выглядит обезличенным и одноразовым. Поэтому его редко изучают до конца. Именно эта особенность обеспечила схеме долгую жизнь.
В ходе расследования выявили три семейства вредоносных программ. Первое получило имя Insomnia. Это программа удалённого доступа, которая работает сразу в двух средах и поддерживает две операционные системы. Вторая разработка называется ARKTunnel. Это туннелирующий инструмент, который прячет свою полезную нагрузку внутри обычной картинки. Он умеет передавать чужой трафик и запускать файлы, а в системе закрепляется как обычная служба. Третье семейство - перехватчик браузера Docro Hijacker. Он возвращает к жизни приём, известный ещё с 2015 года, но переписанный под современные средства защиты. Два семейства ранее публично не описывались.
Отдельного внимания заслуживает отбор жертв. Перед выдачей файла сервер проверяет посетителя. Он оценивает операционную систему, браузер, поисковый запрос и страницу перехода. Настоящий пользователь получает загрузку. Автоматические сканеры и аналитики видят при этом безобидную копию или пустую ссылку. Поэтому у кампании почти нет публичного следа. Она долго оставалась незамеченной, хотя работала весьма активно.
Масштаб операции оказался значительным. Обнаружено более десяти тысяч уникальных образцов загрузчика. Каждый способен доставить собственный набор полезных нагрузок. Инфраструктура включала свыше двухсот доменов. Они менялись по заранее заданной схеме. Наблюдение за ней велось восемь месяцев подряд.
Часть атак пришлась на рабочие компьютеры сотрудников. Злоумышленники маскировали вредоносные файлы под драйверы и утилиты для обслуживания системы. Пользователь скачивал их с файлового архива либо с сайта, зарегистрированного всего за месяц до атаки. После запуска установщик обращался к управляющему серверу. Тот решал, продолжать ли заражение. При положительном ответе запускались три дочерних процесса. Каждый отвечал за своё направление.
Отдельная линия - извлечение прибыли. Перехватчик браузера подменяет поисковую выдачу, вставляет рекламу в результаты поиска и меняет партнёрские ссылки. Пользователь этого не замечает. Внешне страница выглядит как обычно. Такая схема приносит доход независимо от того, похищают ли злоумышленники данные. Поэтому подобные модули живут годами и обновляются незаметно.
Для защиты пригодятся простые меры. Обновляйте операционную систему и прикладные программы. Скачивайте дистрибутивы только с официальных сайтов разработчиков. Задумайтесь, действительно ли нужен "ускоритель" или "оптимизатор" из описания ролика. Используйте двухфакторную аутентификацию. Ограничивайте права обычных пользователей. Проверяйте список автозагрузки и запланированных задач.
Кампания CL-CRI-1171 напоминает, что простая инфекция не означает безобидную. Массовые загрузчики часто считают мелкой помехой и не разбирают до конца. Между тем за ними могут стоять сразу несколько семейств вредоносных программ с разными целями. Часть из них годами не попадает в публичные отчёты. Халатное отношение к таким событиям даёт злоумышленникам время и свободу действий.
Индикаторы компрометации
