Исследователи Unit 42 компании Palo Alto Networks зафиксировали серию кибератак на финансовые организации в Африке. По данным экспертов, злоумышленники, действующие под условным обозначением CL-CRI-1014, с июля 2023 года целенаправленно атакуют банки и другие финансовые учреждения, используя открытые и общедоступные инструменты для проникновения в сети и последующей продажи доступа на теневых форумах.
Описание
Аналитики предполагают, что группа действует как брокер начального доступа (initial access broker), специализируясь на взломе корпоративных сетей и перепродаже учетных данных другим киберпреступным группировкам. Для этого злоумышленники применяют стандартный набор инструментов, включающий фреймворк PoshC2, туннелирующую утилиту Chisel и программу удаленного администрирования Classroom Spy.
Особенностью атак стало использование техники маскировки вредоносного ПО под легитимные приложения. Злоумышленники копируют цифровые подписи Microsoft, VMware и других вендоров, чтобы избежать обнаружения системами защиты. Это не означает уязвимости в продуктах этих компаний, а лишь свидетельствует о попытках злоумышленников скрыть свою деятельность.
Технический анализ показал, что атаки проходят по четкому сценарию. Сначала злоумышленники получают доступ к сети, используя украденные учетные данные или эксплойты. Затем развертывают PoshC2 для выполнения команд и перемещения внутри инфраструктуры. Для обхода межсетевых экранов применяется Chisel, создающий скрытые туннели. Финальным этапом становится установка Classroom Spy, который дает злоумышленникам полный контроль над системами жертв: от мониторинга экранов до перехвата ввода с клавиатуры.
Ранее группировка использовала другой инструмент - MeshAgent, но в последних атаках перешла на Classroom Spy, который позиционируется как ПО для мониторинга компьютеров в учебных заведениях. Установка маскируется под системные процессы, а бинарные файлы переименовываются (например, в systemsvc.exe или vm3dservice.exe), чтобы избежать обнаружения.
PoshC2 играет ключевую роль в атаках: с его помощью злоумышленники выполняют команды, развертывают дополнительные полезные нагрузки и настраивают прокси-серверы для связи с командными центрами. В некоторых случаях импланты PoshC2 упаковываются с помощью обфускатора на языке Nim, что усложняет анализ. Кроме того, вредоносный код активируется только в доменных средах Active Directory, что может быть механизмом защиты от песочниц.
Для обеспечения устойчивости в системе злоумышленники используют несколько методов, включая создание сервисов, добавление ярлыков в автозагрузку и планировщик задач. Интересно, что в одном из случаев вредоносный процесс был замаскирован под обновление Cortex - продукта Palo Alto Networks, что демонстрирует осведомленность атакующих о защитных решениях в целевых сетях.
Chisel применяется для создания SOCKS-прокси, позволяя злоумышленникам скрытно передавать трафик через скомпрометированные системы. Это помогает обходить ограничения межсетевых экранов и оставаться незамеченными.
Эксперты Unit 42 подчеркивают, что атаки на финансовый сектор Африки продолжаются, и призывают компании проверять свои системы на наличие индикаторов компрометации (IoC), а также следить за утечками данных в даркнете. Своевременное обнаружение и блокировка подобных угроз могут предотвратить масштабные финансовые потери и утечку конфиденциальной информации.
Индикаторы компрометации
