Operation Poseidon: APT-группа Konni обходит защиту с помощью рекламных ссылок и AutoIt-скриптов

Главной отличительной чертой кампании стало использование spear-phishing-писем со ссылками, имитирующими легитимный рекламный трафик таких платформ, как Google Ads и NAVER Marketing Platform. Злоумышленники внедряли URL-адреса своих командных серверов в параметры перенаправления легальных рекламных доменов, например, ad.doubleclick[.]net. В результате ссылки выглядели как переходы по рекламе, что позволяло эффективно обходить фильтры безопасности электронной почты и не вызывать подозрений у пользователей. Этот метод обеспечил высокий уровень успешности первоначального проникновения.

Для доставки вредоносной нагрузки атакующие использовали письма, маскирующиеся под уведомления южнокорейских финансовых организаций или неправительственные организации по правам человека в Северной Корее. В письмах содержались ссылки на ZIP-архивы, внутри которых находился LNK-файл (ярлык Windows). Его исполнение запускало цепочку действий: загрузку и выполнение скрипта AutoIt, который, в свою очередь, имитировал открытие PDF-файла, а в памяти системы загружал и исполнял модификацию удаленного доступа EndRAT.

Важным артефактом, позволившим исследователям идентифицировать кампанию, стал внутренний путь сборки, обнаруженный в скрипте AutoIt: "D:\3_Attack Weapon\Autoit\Build\__Poseidon - Attack\client3.3.14.a3x". Это указало на внутреннее название операции - «Poseidon» - и позволило связать атаку с группой Konni. В более поздних образцах эту строку удалили, что говорит о попытках злоумышленников скрыть следы после публикаций аналитиков.

Инфраструктура атаки также демонстрирует высокий уровень изощренности. Для размещения вредоносных файлов и организации командных серверов группа Konni систематически компрометировала плохо защищенные сайты на WordPress. Такой подход позволяет быстро менять инфраструктуру, сводя на нет эффективность блокировок на основе URL-адресов и доменных имен. Кроме того, в письмах использовалась техника обфускации: в невидимые части HTML-кода вставлялся большой объем бессмысленного английского текста. Это затрудняло работу систем обнаружения фишинга, основанных на анализе семантики и ключевых слов.

Атака является наглядным примером эволюции тактик, техник и процедур APT-групп. Для противодействия подобным угрозам недостаточно традиционных сигнатурных методов или блокировки отдельных индикаторов компрометации. Ключевая рекомендация экспертов - переход на многоуровневую стратегию защиты, центральным элементом которой являются системы обнаружения и реагирования на конечных точках.

EDR-решения, способные анализировать поведение процессов в реальном времени, критически важны для обнаружения таких сложных атак. Они позволяют выявлять аномальные цепочки выполнения, например, когда запуск LNK-файла приводит к выполнению AutoIt, а не к открытию легитимного документа. Корреляция событий на конечной точке, таких как выполнение скрипта, подозрительные PowerShell-команды и нехарактерные сетевые подключения, дает возможность прервать атаку на ранней стадии, до полного выполнения вредоносной нагрузки и установки постоянного доступа.

Operation Poseidon подчеркивает, что современные целевые атаки требуют от организаций комплексного подхода к безопасности. Он должен включать не только технические меры, такие как EDR и фильтрация почтового трафика с проверкой URL-перенаправлений, но и регулярное обучение сотрудников, особенно в части проверки вложений и ссылок в письмах, маскирующихся под деловую переписку от финансовых или государственных учреждений.