В Италии развернулась вредоносная кампания, которая выдаёт себя за национальную службу здравоохранения. Злоумышленники создали поддельную главную страницу ведомства и используют доверие к медицине, чтобы заставить человека запустить полученный файл. Под удар попадают и смартфоны на Android, и компьютеры на Windows: одна и та же приманка обслуживает обе платформы. Расчёт строится на простом психологическом приёме. Письмо или ссылка от имени врача либо ведомства выглядит убедительно и не вызывает подозрений.
Описание
Особенность схемы - в способе доставки. Фальшивая страница сама определяет, с какого устройства её открыли, и подбирает файл в зависимости от данных о браузере и операционной системе. С телефона предлагается установить приложение, связанное с медицинским ведомством. С компьютера скачивается командный файл, замаскированный под документ службы. В обоих случаях жертва уверена, что получает полезный сервис, а не вредоносную программу. Такой подход экономит силы атакующих: одна инфраструктура обслуживает сразу два типа устройств.
Обе ветки кампании ведут к одной цели - получить удалённый доступ к устройству. По данным CERT-AGID, итальянские аналитики разобрали оба сценария и описали, как именно устроено заражение.
Приложение для Android устроено двухступенчато. Внутри первого установочного файла спрятан зашифрованный архив. Ключ к нему заложен во встроенную библиотеку, и без него содержимое не прочитать. После расшифровки в результате появляется вторая программа, которая устанавливается обычным для Android способом. На экране она выглядит как официальное приложение службы здравоохранения с узнаваемым логотипом и названием ведомства.
Внутри скрывается StreamRat - вредоносная программа для Android, дающая злоумышленникам удалённое управление телефоном. Чтобы активироваться, она просит пользователя обновить приложение. Затем троян запрашивает доступ к службам специальных возможностей - это законная функция Android, помогающая людям с ограничениями по здоровью управлять смартфоном. Если её разрешить вредоносной программе, та получает право видеть всё на экране и нажимать за пользователя. Именно этот шаг открывает основной набор возможностей.
Набор возможностей широкий. StreamRat читает содержимое экрана и структуру интерфейсов, имитирует нажатия и смахивания, использует кнопки возврата, домашнего экрана и списка недавних приложений. Он умеет делать снимки экрана, выполнять команды, собирать сведения об установленных программах, показывать ложные уведомления и управлять блокировкой телефона. Отдельная функция - выводить поверх открытых приложений поддельные страницы. Они приходят с сервера злоумышленников и служат для выманивания введённых данных, например имён пользователей и паролей.
Список целей меняется на ходу. В приложении нет заранее прописанного перечня банков, медицинских или иных сервисов. Вредоносная программа сообщает серверу, какая программа сейчас открыта у жертвы, и получает подходящую страницу для подмены. Злоумышленники могут менять цели, не трогая код трояна. Поэтому имя службы здравоохранения стоит воспринимать как приманку, а не как доказательство того, что атакуют только медицину. Сегодня маскировка одна, завтра та же программа может выдать себя за банк или почтовый сервис.
Связь с управляющим сервером идёт по защищённому каналу. Через него поступают команды: выполнить действия в командной строке устройства, управлять интерфейсом, снять экран, показать уведомление или вывести поддельную страницу. Пока телефон заражён и подключён к сети, устройство остаётся под чужим контролем.
Совершенно иначе ведёт себя заражение на Windows. С компьютера скачивается командный файл с именем службы здравоохранения. Значительная его часть выглядит как код для проверки оборудования и тестов производительности. Однако эти блоки не выполняются - программа их пропускает и переходит к вредоносной части. Такая маскировка нужна, чтобы запутать тех, кто станет читать файл вручную.
Командный файл запускает скрытое окно PowerShell, встроенной среды управления Windows. Затем он пытается скачать файл с расширением изображения. Адреса нескольких серверов перебираются в случайном порядке, чтобы использовать первый доступный. Хотя расширение указывает на картинку, содержимое читается как текст. Загрузчик ищет два маркера и извлекает между ними длинную строку, закодированную текстом. После расшифровки получается исполняемый код платформы .NET.
Этот код попадает напрямую в память PowerShell, минуя запись на диск. Из него вызывается нужная функция, и командный файл заканчивает работу. Дальше в дело вступает XWorm - программа удалённого доступа. Такие программы созданы, чтобы дать атакующему полный контроль над чужим компьютером. Он может наблюдать за экраном, работать с файлами, запускать программы и нажимать клавиши от имени пользователя. Для компании это обернётся утечкой данных, а для частного лица - потерей доступа к аккаунтам.
Обе ветки кампании сходятся в одном. И на Android, и на Windows конечная цель - закрепиться на устройстве и получить широкий удалённый доступ, хотя инструменты и приёмы различаются. Приманка вокруг медицины работает потому, что тема здоровья вызывает доверие. Пользователям стоит скачивать приложения только из официальных магазинов и проверять адрес сайта перед вводом данных. К просьбам включить незнакомые функции доступности лучше относиться настороженно. Организациям имеет смысл напоминать сотрудникам о подозрительных вложениях. Запуск неизвестных файлов на рабочих компьютерах разумно ограничить, а новые программы на корпоративных телефонах держать под контролем.
Индикаторы компрометации
