С августа 2015 года злоумышленники применяют криптер DarkTortilla для скрытой доставки вредоносного ПО. Криптер - это программа-упаковщик. Она шифрует вредоносный код и маскирует его под безобидный файл. Благодаря этому программа обходит защиту и остается незамеченной. Инструмент работает уже много лет и за это время пережил несколько крупных обновлений. Целями становятся компании, государственные учреждения и обычные пользователи. География атак широка: от Европы до Северной Америки. Волны заражений то затихают, то начинаются снова.
Описание
Главный канал распространения - электронная почта. Письма маскируются под уведомления о доставке грузов. Такая тематика привычна для сотрудников отделов закупок, складов и логистики. Поэтому получатель реже заподазривает подвох и быстрее открывает вложение. Вложения выглядят как обычные рабочие файлы: архивы, образы дисков, текстовые документы. В части случаев вредоносную программу прячут внутрь документа. Тогда жертву просят включить встроенные сценарии, которые в офисных файлах называют макросами. Либо ей предлагают дважды щелкнуть по вложенному объекту. Оба действия запускают загрузчик. Дальше он незаметно скачивает основную полезную нагрузку.
Кампании подстраивают под язык получателя, как показало исследование. Письма приходили на английском, немецком, румынском, испанском, итальянском и болгарском языках. Значит, злоумышленники работали сразу в нескольких регионах. Переводы выглядят аккуратно, а тексты повторяют обычную деловую переписку. Такой подход повышает доверие и снижает число ошибок со стороны жертвы. При этом рассылки остаются массовыми. Одна и та же инфраструктура обслуживает сотни адресатов. Подготовка кампании занимает немного времени. Поэтому атакующие быстро меняют приманки и языки.
Сам криптер устроен гибко. Через него доставляют как массовые, так и точечные инструменты. К массовым относятся программы для кражи учетных данных, банковской информации и переписки. Среди них встречаются AgentTesla и RedLine. К точечным - сложные наборы для скрытого управления чужой инфраструктурой. Отмечались также дополнительные модули. Они расширяют возможности основной программы и добавляют новые функции. В итоге один и тот же упаковщик обслуживает и мелких, и крупных заказчиков. Криптер выступает посредником между разработчиками вредоносного ПО и теми, кто его применяет. Такая модель упрощает работу новичкам.
Отдельная проблема - защита самого криптера от анализа. Вредоносная программа проверяет окружение. Она пытается понять, не запущена ли она в изолированной среде. При малейших признаках слежки код меняет поведение. Иногда он вовсе отказывается работать. Кроме того, встроенные механизмы мешают изменять файлы и снимать защиту. Попытка правки приводит к порче образца. Из-за этого разбор программы по частям занимает больше времени. Пока идет анализ, кампания продолжается. Это дает злоумышленникам запас времени.
Последствия для бизнеса разнообразны. В первую очередь страдают учетные данные сотрудников. Украденные данные открывают доступ к внутренним системам. Затем возможны кража коммерческой тайны, мошеннические платежи и простой. Для производственных компаний остановка даже на сутки оборачивается прямыми убытками. Для госсектора риск связан с утечкой служебной информации. Для небольших фирм потери могут оказаться критическими. Восстановление инфраструктуры требует денег и времени. Репутационный ущерб тоже ощутим. Клиенты и партнеры теряют доверие к компании, которая допустила утечку.
Базовые меры защиты остаются прежними. Сотрудников стоит учить внимательно относиться к вложениям. Особенно если письмо пришло от неизвестного отправителя. Почтовый шлюз должен проверять архивы и образы дисков. Обновление операционной системы и офисных программ нужно проводить регулярно. Двухфакторная аутентификация снижает ущерб от украденных паролей. Резервные копии помогают быстрее восстановиться. Настройки офисных приложений лучше ограничить. Тогда встроенные сценарии не запускаются без явного разрешения. Эти меры не дают полной гарантии. Однако они заметно сужают возможности атакующих.
Криптеры давно стали отдельным рынком услуг. Одни команды разрабатывают упаковщики. Другие покупают к ним доступ. DarkTortilla остается на этом рынке много лет. Причина проста: инструмент легко перестраивается под новые задачи. Разработчики регулярно обновляют его и добавляют свежие приемы защиты. Пока спрос на скрытую доставку вредоносного ПО остается высоким, подобные инструменты будут появляться снова. Компаниям стоит учитывать это при планировании бюджета на безопасность.
Индикаторы компрометации
