Одна неверная буква в адресе сайта обернулась заражением рабочего компьютера. Сотрудник купил новую мышь, открыл инструкцию с коробки и ввёл адрес вручную - вместо буквы m на клавиатуре оказалась n. Домена с таким окончанием не существует, поэтому браузер показал результаты поиска, а верхнюю строку занимало рекламное объявление. По ссылке открылась страница с предложением установить "приватный браузер". Программа действительно работала как браузер, только защиты личных данных в ней не нашлось: внутри скрывался полноценный механизм удалённого управления чужим компьютером. Схема действует минимум десять лет.
Описание
Дальше события развивались по отлаженному сценарию. Реклама с похожим адресом привела на промежуточный сайт-посредник, а тот перенаправил посетителя на страницу загрузки. Перед скачиванием у человека попросили подтвердить, что он не робот, - привычная проверка, которая притупляет подозрения. После её прохождения на машину попал установочный пакет, который ставится одним нажатием. Ни защитная система на компьютере, ни антивирусные движки не увидели в файле угрозы. В сервисе проверки файлов на вирусы его ежедневно распознают от нуля до двух движков из нескольких десятков.
Установленное приложение состоит из двух частей - видимой оболочки и движка. Оболочка собрана на веб-технологиях и каждый раз подгружается с сервера злоумышленников, поэтому на диске её нет и изучать в отрыве от сети почти нечего. Движок дополнили скрытыми функциями: он запускает другие программы и подставляет в них нажатия клавиш и движения мыши. Фактически оператор получает те же возможности, что и человек за своим столом, только через интернет. Как показало проведённое исследование, менять сценарий можно в любой момент, не выпуская обновлений для самого приложения.
Действует программа осторожно. Перед началом работы она выжидает не меньше семи минут после того, как пользователь отошёл от компьютера. Окно браузера на время сдвигают за пределы экрана, чтобы человек ничего не заметил, а после завершения возвращают на прежнее место. Набор действий зависит от страны. В список приоритетных целей попали США, Канада, Великобритания, Германия, Франция, Италия, Испания, Швеция, Нидерланды и Австралия - там подменяют поисковую систему по умолчанию и ставят расширения. В ряде государств вредоносная часть не выполняется вовсе. Остальным пользователям достаются только расширения.
Расширение в браузере - не безобидная мелочь. Оно видит содержимое открытых страниц, а значит, может добраться до внутренней переписки, документов и рабочих систем компании. Движок при этом универсален: сейчас его применяли только к окну браузера, но та же механика позволяет управлять любой программой на машине. Например, открыть служебную консоль и загрузить через неё произвольный код.
Пакеты формата MSIX (способ установки приложений в Windows) давно используют в атаках, и они по-прежнему хорошо обходят защиту. Для жертвы установка выглядит аккуратно: система показывает знакомое окно с названием программы и данными издателя, а не предупреждение о неизвестном файле. Если пакет проходит через магазин приложений Microsoft, его подписывает сама корпорация, и вопросов у пользователя не остаётся.
Обратная сторона в том, что такой пакет сохраняет больше сведений о машине, на которой его собрали, чем предполагали авторы. Внутри остались фрагменты системного реестра сборщика. По ним удалось восстановить список установленных программ: средства разработки, редакторы кода, мессенджер, а также инструменты для работы с рекламным трафиком. Машина оказалась личной - на ней стояли облачный сервис, мессенджер и музыкальный сервис. Именно эти следы вывели на более раннюю кампанию того же автора.
Она действует как минимум с 2016 года, а возможно, и дольше. Схема похожа: человеку предлагают скачать программу, которой он уже пользуется. Чаще всего это мессенджер, но попадались и социальные сети, сервис знакомств, энциклопедия. Файлы разложены по бесплатным файлообменникам. Установщик прописывает приложение в автозагрузку, и оно тихо работает в фоне. Дальше программа собирает сведения о компьютере и отправляет их на удалённый сервер. Отдельно она проверяет, не установлено ли на машине средство перехвата сетевого трафика, - так злоумышленники пытаются понять, не попали ли они под наблюдение.
Особую опасность представляет механизм обновления. Приложение умеет подменять собственные файлы, скачивая новые версии по сети, и при этом не проверяет ни цифровую подпись, ни контрольные суммы. Любой, кто получит доступ к серверу обновлений или к каналу связи, сможет передать заражённой машине что угодно. Тот же код исполняет команды, полученные с сервера, не дожидаясь обновления.
Защита строится на простых привычках. Программы лучше скачивать только с официальных сайтов производителей, а адреса вводить внимательно или сохранять в закладки. Рекламные объявления в поисковой выдаче не стоит считать надёжным источником. Расширения браузера полезно периодически просматривать и удалять лишние. На рабочих машинах стоит ограничить права пользователя и следить за тем, какие приложения появляются в автозагрузке. Отдельного внимания заслуживают случаи, когда программа после установки загружает данные из интернета: это признак того, что её поведение определяет кто-то извне.
Индикаторы компрометации
