За последний год хакерская группировка NightEagle, известная также под обозначением APT-Q-95, провела серию атак на российские организации. Раньше её интересовали компании в Азии, теперь география заметно расширилась. Группа работает как минимум с 2023 года и предпочитает входить в сеть под видом законного сотрудника, а не подбирать пароли наугад.
Описание
APT (advanced persistent threat, устойчивая угроза) - так называют сплочённые группы, которые годами ведут целенаправленные кампании против конкретных отраслей. Их отличает терпение: подготовка занимает месяцы, а присутствие в чужой сети измеряется неделями. NightEagle как раз из таких.
Первый шаг почти всегда одинаков. Злоумышленники получают действующие логин и пароль сотрудника - например, из прошлых утечек или через целевой фишинг (письмо, написанное под конкретного человека). С этими сведениями они подключаются к корпоративному VPN (защищённому каналу удалённого доступа в сеть компании) и оказываются внутри периметра. Соединения шли из российского сегмента, за которым стоят туннели Cloudflare WARP, и с европейских площадок виртуального хостинга. Для службы безопасности такой вход выглядит как обычная удалённая работа.
Дальше на серверах Microsoft Exchange (корпоративной почтовой платформе) появляется бэкдор - скрытая программа удалённого доступа под названием GhostContainer. Собрана она из общедоступных компонентов: туннеля для скрытой связи, эксплойта для давней уязвимости CVE-2020-0688 и фрагмента популярной утилиты для проверки защищённости. Точный способ доставки установить не удалось. По данным глобальной команды реагирования Kaspersky (GERT), применялся уже знакомый приём: злоумышленники извлекали криптографические ключи Exchange из конфигурации, подменяли служебный параметр веб-формы и вкладывали в него вредоносный код, который запускался прямо в памяти сервера.
Попав на почтовый сервер, программа принимает команды от управляющего центра, скрывает своё присутствие от антивирусных механизмов и системных журналов, а также перенаправляет сетевой трафик. Искать её по имени файла бессмысленно: следов на диске почти не остаётся.
Закрепившись, группа переходит к перемещению по внутренней сети. Здесь работают средства удалённого рабочего стола и два инструмента туннелирования. Первый - легитимный механизм Microsoft dev tunnels, который публикует локальные сервисы в интернете. Через него злоумышленники открывали доступ к удалённому рабочему столу. Второй - утилита rdp2tcp, передающая сетевой трафик внутри уже установленного сеанса. Вместе они дают устойчивый канал, не открывая подозрительных портов.
Инструменты лежали в публичных репозиториях GitHub (сервисе для хранения кода). Злоумышленники маскировали архивы под библиотеки JavaScript, а файлы внутри - под обновления Adobe, клиент TrueConf и плагины для 1С. Названия не совпадали с содержимым, и это затрудняло поиск. Для запуска задач по расписанию использовался набор Impacket, а перенаправление портов выполнялось штатными средствами Windows.
Повышать права помогала Active Directory - служба каталогов, где хранятся учётные записи, группы и правила доступа. В одном из эпизодов применялась BlueKeep, уязвимость в протоколе удалённого рабочего стола CVE-2019-0708. Злоумышленники создавали локальную учётную запись и сразу включали её в группы администраторов и пользователей удалённого доступа.
Затем следовали запросы билетов Kerberos - пропусков, подтверждающих право на работу с ресурсами домена. Группа выбирала нестандартный набор свойств для таких пропусков, чтобы продлить срок их действия. После получения достаточно широких прав применялся приём DCSync: копирование учётных данных домена, позволяющее выдать себя за контроллер домена.
Результат такой цепочки - долгое присутствие и почти полный контроль. Злоумышленники получают данные для аутентификации доменных записей, пользуются законными билетами доступа и постепенно подчиняют контроллеры домена. Для компании это означает риск утечки коммерческой тайны, персональных данных клиентов и остановки критичных сервисов.
Сдержать группу помогает не поиск экзотических сигнатур, а внимание к отклонениям от нормы. Всплеск входов через VPN из непривычных мест, новые задачи в планировщике, подключения к внутренним серверам с рядовых рабочих мест - всё это поводы для проверки. Пароли сотрудников стоит защищать двухфакторной аутентификацией, а доступ к VPN выдавать только тем, кому он нужен. Серверы Exchange и службы удалённого доступа требуют регулярных обновлений, учётные записи администраторов - отдельного контроля.
Решения Kaspersky фиксируют описанную активность на разных этапах: аналитический сервис определяет схожесть образцов с известными кампаниями NightEagle, модули защиты конечных точек сигналят об аномалиях на хостах, а сетевые средства выявляют попытки эксплуатации BlueKeep и обращения к туннельным доменам. Средства класса EDR (обнаружение и реагирование на конечных точках) дают дежурной смене общую картину, а не разрозненные события.
Группа опирается на легитимные сервисы и давно известные уязвимости, поэтому многое зависит от базовой гигиены: свежие обновления, ограниченные права, контроль за туннелями и быстрая реакция на странности в журналах. Пока одни компании закрывают эти пробелы, другие остаются удобной целью для NightEagle.
Индикаторы компрометации
