26 января 2022 года вышел разбор инфраструктуры группировки Molerats, известной также как Gaza Cybergang. Это APT-группировка, то есть организованная команда, которая годами ведёт целевые атаки на выбранные организации. Её интересуют государственные, военные и политические структуры Ближнего Востока, Европы и США. Новое исследование связало между собой две атаки. Одна нацелена на почтовый сервер ближневосточной госструктуры, вторая - на веб-сервер израильского ведомства. За обеими стоят одни и те же узлы. Промежуточным звеном в этих схемах выступают домашние подключения палестинских провайдеров. Для чиновников и руководителей компаний в регионе это означает простую вещь: давняя группировка по-прежнему работает и по-прежнему целится в государственные ресурсы.
Описание
Активность Molerats наблюдают с 2012 года. Группировка говорит на арабском языке, а её действия носят политический характер. Кампания, о которой идёт речь, началась в июле 2021 года. Первой её описала компания Zscaler: 20 января 2022 года она выпустила исследование о шпионской операции против ближневосточных организаций. В открытый доступ случайно попал снимок экрана с рабочей машины атакующего. Изображение загрузили сами злоумышленники, пока проверяли работу вредоносного ПО. На снимке виден адрес, с которого велось управление этой машиной. Именно с этой зацепки и началось дальнейшее расследование.
Далее к работе подключилась команда Team Cymru. По данным Team Cymru, сетевые данные о подключениях за несколько месяцев выявили входящие сессии с десяти разных адресов. Все они принадлежат палестинскому провайдеру Speed Click Limited, который обслуживает домашних пользователей через беспроводные и телефонные линии. Последняя активность зафиксирована 6 января 2022 года. Геолокация указывает на сектор Газа. Адреса сменяют друг друга по очереди, без пересечений по времени. Так выглядит работа одной машины, которой провайдер регулярно выдаёт новый адрес при продлении аренды. Такой рисунок активности типичен для домашнего пользователя, а не для корпоративной сети.
От списка этих адресов аналитики перешли на следующий уровень инфраструктуры. Им оказался узел в американском хостинге FDCservers. С палестинских подключений к нему шли обращения, а сам узел, в свою очередь, связывался с почтовым сервером генерального секретариата региональной госорганизации на Ближнем Востоке. Активность пришлась на 21 и 22 декабря 2021 года. К узлу обращались ещё три адреса, теперь уже от палестинского провайдера Fusion Services, и снова из сектора Газа. Связь с местными провайдерами повторяется в каждом эпизоде, что усиливает уверенность в общем авторстве.
Третий узел размещался у американского провайдера Dedipath. К нему обращались два адреса Fusion Services и пять адресов из первой группы. К тому же узлу подключился ещё один адрес Speed Click Limited. В обратную сторону, от узла к домашним пользователям, тоже шли соединения. А 15 января 2022 года с него зафиксировали подключения к веб-серверу израильского государственного ведомства. Обе цели - почта и веб-ресурс - относятся к государственному сектору. Это совпадает с профилем интересов группировки.
У всех трёх узлов обнаружилась общая черта. На каждом работал веб-сервер Apache под управлением Ubuntu. Версия этого программного обеспечения устарела: её выпустили около июля 2021 года, а часть известных уязвимостей описывают с 2016 года. Отсюда две версии событий. Либо злоумышленники взломали чужие серверы и приспособили их под свои задачи, либо сами развернули устаревшую сборку для управления атаками. В обоих случаях посторонние группы могли получить доступ к тем же машинам в тот же период. Хозяева таких серверов обычно не замечают, что их ресурс используют для чужих операций.
Главная неясность - добрались ли атакующие до почтовых ящиков. Сетевые данные подтверждают успешные соединения с почтовым сервером. Вошли ли злоумышленники в конкретные ящики, установить не удалось. Именно почта госструктуры, судя по всему, и была целью кампании. Шпионские операции такого рода растягиваются на месяцы, а утечка проявляется не сразу. Для организации такой доступ означает раскрытие переписки, документов и внутренних материалов. Ущерб измеряется не только деньгами, но и репутацией, а также риском для сотрудников и партнёров.
Инфраструктура, которую нашла Zscaler и подробно описала в новом разборе, задействована в текущих операциях Molerats. Угроза сохраняется, а часть серверов продолжает работать без обновлений. Организациям из государственного сектора и смежных отраслей нужно регулярно обновлять программное обеспечение, особенно веб-серверы, доступные из интернета. Для почтовых сервисов полезна двухфакторная аутентификация: одного пароля при утечке уже недостаточно. Помогает и наблюдение за необычными подключениями к почте. Устаревшие узлы, которые никто не обслуживает, лучше отключать. Сервер с известными уязвимостями облегчает задачу любой группировке, а не только Molerats.
Индикаторы компрометации
