В апреле 2023 года Microsoft Threat Intelligence объявила о переходе на новую таксономию наименований угроз, основанную на погодной тематике. В рамках этого обновления группа, ранее известная как KNOTWEED, получила новое обозначение - Denim Tsunami. Эта австрийская частная наступательная группа (Private-Sector Offensive Actor, PSOA), также называемая кибернаёмниками, оказалась в центре внимания специалистов Microsoft из-за использования целого арсенала уязвимостей нулевого дня и сложного вредоносного ПО в ограниченных и целенаправленных атаках на клиентов в Европе и Центральной Америке.
Описание
Группа, связанная с австрийской компанией DSIRF, разработала и применяла вредоносное ПО под названием Subzero. Microsoft Threat Intelligence Center (MSTIC) и Microsoft Security Response Center (MSRC) обнаружили, что для его внедрения злоумышленники использовали несколько уязвимостей нулевого дня в Windows и Adobe Reader. Одна из них, CVE-2022-22047, была исправлена в июле 2022 года. Деятельность таких PSOA, как Denim Tsunami, обычно строится по одной из двух моделей: предоставление инструментов для взлома как услуги (access-as-a-service) или выполнение взлома на заказ (hack-for-hire). Однако анализ показывает, что эта группа может сочетать обе модели: они продают вредоносное ПО Subzero третьим сторонам, но также напрямую участвуют в операциях, используя собственную инфраструктуру.
В 2021 и 2022 годах MSTIC зафиксировала несколько способов внедрения Subzero. Весной 2022 года атака начиналась с отправки целевым жертвам, включая юридические фирмы, банки и консультантов, фишингового PDF-документа по электронной почте. Этот документ содержал цепочку эксплойтов: уязвимость удалённого выполнения кода (RCE) в Adobe Reader и уязвимость нулевого дня для повышения привилегий в Windows (CVE-2022-22047). Уязвимость в Windows позволяла не только повысить привилегии, но и обойти песочницы, например, в Adobe Reader или Chromium, что привело бы к выполнению кода на уровне системы. Интересно, что в коде эксплойта были обнаружены признаки его адаптации для атак через браузеры на базе Chromium, хотя такие случаи пока не зафиксированы.
Годом ранее, в 2021 году, группа использовала другую цепочку уязвимостей, включающую CVE-2021-31199, CVE-2021-31201 и CVE-2021-28550. Позже было установлено, что для развёртывания Subzero применялся и четвёртый эксплойт, нацеленный на службу Windows Update Medic (CVE-2021-36948). Вредоносная DLL, использованная в этой атаке, была подписана цифровым сертификатом, выданным на имя DSIRF GmbH, что стало одним из ключевых доказательств привязки активности к этой компании. Помимо эксплойтов, для начального доступа применялся файл Excel, маскирующийся под документ по недвижимости. Он содержал тщательно обфусцированный макрос, который использовал фрагменты текста из "Камасутры" и функции Excel 4.0 для усложнения анализа и уклонения от обнаружения.
После успешного проникновения исполнялся загрузчик, который получал с командного сервера (C2) изображение в формате JPEG. В конец этого файла, после стандартного маркера окончания, добавлялись зашифрованные данные. Загрузчик расшифровывал и исполнял в памяти основной модуль вредоносного ПО, известный как Corelump. Этот модуль, никогда не сохранявшийся на диск, обладал широким набором функций: кейлоггинг, создание скриншотов, извлечение файлов, удалённый доступ и выполнение произвольных плагинов с C2. Для обеспечения устойчивости (persistence) Corelump создавал на диске троянизированные версии легитимных DLL Windows (обнаруживаемые как Jumplump), размещая их в каталоге C:\Windows\System32\spool\drivers\color\. Затем он изменял системные реестровые ключи COM для перехвата загрузки легитимных библиотек, что гарантировало запуск вредоносного кода при каждой загрузке системы.
В арсенале группы также были обнаружены специализированные утилиты Mex и PassLib. Mex представляла собой консольный инструмент, собранный из множества открытых инструментов для тестирования на проникновение, таких как Mimikatz, Rubeus и SharpHound. PassLib являлся сборщиком паролей, способным извлекать учётные данные из браузеров, почтовых клиентов, процесса LSASS и диспетчера учётных данных Windows. После компрометации злоумышленники выполняли ряд действий: включали хранение паролей в незашифрованном виде в памяти через реестр, дампили данные из LSASS, пытались получить доступ к почтовым ящикам и загружали дополнительные инструменты с публичных файловых хостингов.
Расследование инфраструктуры группы, начатое с домена acrobatrelay[.]com, выявило прямые связи с DSIRF. Были обнаружены поддомены, такие как debugmex[.]dsirflabs[.]eu и szstaging[.]dsirflabs[.]eu, которые, вероятно, использовались для отладки вредоносного ПО и промежуточного размещения Subzero. Эта инфраструктура, размещённая у хостинг-провайдеров Digital Ocean и Choopa, активно использовалась с февраля 2020 года. Microsoft рекомендует всем организациям в срочном порядке установить обновление безопасности от июля 2022 года для устранения CVE-2022-22047. Кроме того, для защиты следует обновить Microsoft Defender Antivirus, контролировать настройки безопасности макросов в Excel, включить многофакторную аутентификацию и отслеживать подозрительную активность, такую как модификация реестровых ключей WDigest или создание дампов процесса LSASS.
Переход на новую систему имён, где KNOTWEED становится Denim Tsunami, отражает эволюцию подхода Microsoft к классификации угроз. Новые названия призваны лучше передавать происхождение, уникальные черты и потенциальное воздействие групп. Предоставленная информация и индикаторы компрометации (IOC) помогают улучшить обнаружение подобных сложных целевых атак по всей отрасли.
Индикаторы компрометации
