Активатор KMS Auto, которым пользуются для бесплатного включения продуктов Microsoft, оказался первым звеном многоэтапного вторжения. Разбор одного инцидента показал: вслед за запуском утилиты на машине появился майнер криптовалют, затем средства удалённого управления, а в финале - программа, лишь имитировавшая атаку шифровальщиков. Ценность этого случая не в отдельных файлах, а в том, как долго злоумышленник оставался незамеченным.
Описание
KMS Auto - неофициальная утилита для активации лицензий. Вредоносной её назвать нельзя, но перепакованные сборки давно используют как канал доставки чужого кода. Скачивают такие версии с торрент-трекеров, файловых помоек и сайтов со "взломанным" софтом. Пользователь думает, что получает активатор, а внутри уже лежит посторонняя начинка.
По данным K7Labs, в разобранном случае исполнение активатора стало самым ранним событием в цепочке. Дальше этапы разделяли паузы от 12 до 24 часов. Такой ритм говорит об осознанном присутствии на машине, а не о разовой автоматической загрузке.
Первым дополнительным компонентом стал XMRig - открытый инструмент для добычи криптовалют. Майнер выгоден атакующим: он приносит доход и почти не мешает работе, просто забирая вычислительные ресурсы. Жертва не видит ни требований, ни уведомлений. Именно этот этап превратил историю из "поставил пиратскую утилиту" в подтверждённое присутствие чужого кода на хосте.
Спустя несколько часов на машине появился легитимный продукт для удалённого администрирования - ScreenConnect, средство удалённого управления рабочими станциями. Разработка настоящая, но её развёртывание внутри чужой инфраструктуры уже само по себе подозрительно. Позже добавился второй инструмент того же класса - MeshAgent. Дублирование нужно для подстраховки: если один канал заметят и заблокируют, второй сохранит доступ.
Финалом стала полезная нагрузка, замаскированная под системный процесс защиты Windows. Она меняла обои рабочего стола и выводила поверх всех окон экран с требованием разблокировать файлы. Шифрования при этом не происходило. Ключа не существовало, а в тексте требования не было ни суммы, ни адреса криптокошелька, ни срока, ни способа связаться с вымогателем. Программа лишь добавляла исполняемым файлам лишнее расширение, создавая видимость порчи данных.
Такое поведение называют scareware (программа-обманка, которая давит на страх, но не выполняет обещанного). Ущерб здесь психологический. Параллельно зловред закреплялся в системе: прописывался в автозапуске, создавал скрытые копии себя и вспомогательные сценарии для фоновой работы.
В метаданных нагрузки упоминалась группировка APT36, известная также как Transparent Tribe. Это объединение связывают с Пакистаном, активность фиксируют примерно с 2013 года. Значки и подписи отсылали к пакистанскому флагу. Однако доказательств причастности нет. Настоящие APT (целенаправленные атаки, которые ведёт организованная группа) заняты разведкой: их интересуют военные, дипломатические и промышленные объекты, а не домашние компьютеры. Разобранный случай скорее похож на хулиганство с чужой подписью.
Значимость истории в совокупности признаков, а не в каждом из них по отдельности. Активатор, майнер и средство удалённого доступа сами по себе выглядят безобидно, порой у них есть и легальное применение. Вместе и за считанные дни они складываются в картину управляемого взлома. Стоит учесть и другое: типичный шифровальщик требует выкуп за расшифровку, здесь же обошлись картинкой и запугиванием, потому что затраты минимальны, а эффект сопоставим.
K7Labs отнесла KMS Auto к категории инструментов для взлома в своей классификации угроз. Для компаний вывод простой: не допускать установку нелицензионного ПО на рабочие машины, следить за появлением средств удалённого администрирования, отслеживать внезапный рост нагрузки на процессоры и проверять содержимое папок автозапуска. Домашним пользователям полезно помнить, что бесплатная активация почти всегда оплачивается доступом к собственной системе.
Индикаторы компрометации
