Открытый сервер атакующих раскрыл набор инструментов для атаки на инфраструктуру Viva Aerobus

Сервер работал как перевалочный пункт. Через него в чужую сеть доставляли программы, а обратно уходили собранные файлы. Отдельного канала связи с командным сервером (C2-сервер, узел управления атакой) не требовалось. Рабочие каталоги не отделялись от публичной сети проверкой доступа. Сервер одновременно принимал инструменты, отдавал их по запросу и хранил результаты работы. Из-за этого открылись сразу несколько этапов операции.

По данным ThreatMon, наблюдение началось во время плановой охоты на угрозы. Внутри обнаружились 17 инструментов, и это не один скрипт, а готовый набор для работы в чужой среде. Часть программ вытаскивала пароли из браузеров и системных хранилищ Windows. Другие перебирали учётные данные и проверяли вход на сторонние серверы баз данных. Третьи отвечали за пересылку файлов. В отдельных каталогах лежала уже собранная добыча, включая результаты работы Mimikatz, инструмента для извлечения паролей из памяти и системных структур.

Точкой входа внутрь чужой сети стал Microsoft SQL Server. Злоумышленники задействовали встроенную процедуру, которая позволяет серверу баз данных выполнять команды операционной системы. Через неё запускались команды Windows и скрипты PowerShell - штатное средство администрирования, которым атакующие часто пользуются для скрытого выполнения кода. Тот же канал применялся и для кражи файлов. Программа читала файл, делила его на части, кодировала каждую и возвращала их через ответы на запросы к базе. Отдельный маршрут связи для вывода данных не требовался. Сервер баз данных при этом оставался внутри периметра и не вызывал подозрений у сетевых средств контроля. Резкий запуск командной строки от имени служебной учётной записи базы данных - повод для немедленной проверки.

Особую ценность для атакующих представляли сведения из среды управления базами данных Microsoft SQL Server Management Studio. Там хранятся имена серверов, логины и пароли, защищённые встроенным механизмом Windows. По ним можно составить список вероятных следующих целей. Сохранённые подключения показывают, куда идти дальше и под какими правами. Среда управления базами остаётся удобным источником таких сведений, потому что администраторы годами накапливают в ней подключения к разным системам. Названия конкретных узлов, логины и защищённые пароли ThreatMon в публичный отчёт не включил.

После сбора учётных данных атакующие занялись поиском секретов в файлах исходного кода и конфигураций. Там встречались ссылки на базы данных, механизм авторизации OAuth, почтовые сервисы, защищённый файловый протокол SFTP и платёжные интеграции. Конкретные значения в отчёт не попали. Затем в дело пошли инструменты проверки логинов и паролей на других серверах баз данных. Отдельные программы проверяли доступ к сетевым административным папкам. Часть целей подсказали ранее похищенные сведения из среды управления базами. Три инструмента из набора опубликовали вместе с контрольными суммами, чтобы защитники искали совпадения, а не полагались на имена файлов.

Успешное продвижение вглубь сети и кражу пассажирских, платёжных или иных чувствительных данных подтвердить не удалось. Зафиксированы подготовка к боковому перемещению (передвижению по внутренней сети) и попытки повторного использования учётных данных. Наблюдения сопоставили с восемью техниками MITRE ATT&CK (база знаний о приёмах атакующих). Среди них выполнение команд, доступ к паролям, накопление файлов в промежуточных каталогах и вывод информации через уже открытый канал связи.

Хронология уместилась в несколько часов. В 16:20 сервер отдал полезную нагрузку во внутреннюю среду жертвы. Через минуту-две посторонний узел в интернете начал перебирать каталоги и добрался до папок с добычей. Между этими событиями сервер отвечал на служебные запросы собственного владельца. К 18:04 к тем же файлам подключились другие внешние системы. Вторая утечка возникла поверх первой, и создали её сами атакующие.

Для защиты стоит вернуться к настройкам SQL Server. Встроенную процедуру запуска команд лучше держать отключённой. Если без неё не обойтись, доступ к ней ограничивают и следят за каждым вызовом. Сохранённые подключения в среде управления базами данных заслуживают такого же отношения, как сами пароли. Сетевые журналы имеет смысл просмотреть на обращения к открытому серверу атакующих. На конечных узлах поискать опубликованные контрольные суммы файлов и рабочий каталог во временной папке Windows. Пароли, попавшие на общедоступный сервер, нужно менять независимо от того, заметили ли их повторное использование.

Открытая инфраструктура атакующих дала защитникам редкий обзор их рабочего процесса. Одновременно она расширила круг тех, кто получил доступ к уже похищенным данным. Гарантий, что чужие файлы забрал только автор атаки, не существует. Полезные сведения о тактике злоумышленников теперь всё чаще находят не в сетях жертв, а на плохо настроенных серверах самих нападающих.