В киберпространстве активизировалась новая, технически продвинутая группировка хакеров, нацеленная на российские государственные органы и объекты критической информационной инфраструктуры (КИИ). Эксперты по кибербезопасности присвоили угрозе обозначение APT (Advanced Persistent Threat - комплексная постоянная угроза) «Paper Werewolf» («Бумажный оборотень»). Группировка осуществляет целевые компьютерные атаки, используя сложную тактику и оригинальное вредоносное программное обеспечение (ПО).
Описание
Особенностью атак «Paper Werewolf» является применение фреймворка для постэксплуатации под названием Mythic. Этот инструментарий позволяет злоумышленникам, уже получившим первоначальный доступ к системе, эффективно управлять зараженными компьютерами, скрытно перемещаться по сети, красть данные и развертывать дополнительный вредоносный код. Однако главная «изюминка» в арсенале группировки - это механизм доставки и запуска данного фреймворка.
Злоумышленники распространяют Mythic с помощью специально сконструированных исполняемых файлов, обладающих уникальной полиформатной структурой. Проще говоря, один и тот же файл может быть прочитан и интерпретирован разными операционными системами или анализаторами как несколько различных форматов. Например, файл может одновременно маскироваться под безобидный документ, архив и исполняемый скрипт. Подобная техника, известная как полиморфизм или создание файлов-«франкенштейнов», серьезно затрудняет работу традиционных средств защиты, таких как антивирусы и системы обнаружения вторжений (IDS).
Такой файл-«хамелеон» позволяет обойти статические сигнатурные методы детектирования, которые ищут известные шаблоны вредоносного кода. Более того, он повышает шансы на успешное исполнение, поскольку может использовать уязвимости или особенности обработки файлов в разных средах. Это свидетельствует о высоком уровне технической подготовки атакующих и их нацеленности на преодоление современных систем киберзащиты.
Выбор цели - государственный сектор и субъекты КИИ - указывает на возможную политическую или геостратегическую мотивацию группировки. Успешная атака на такие объекты может привести не только к утечке конфиденциальной информации, но и к нарушению функционирования жизненно важных служб. Эксперты предполагают, что конечными целями могут быть шпионаж, дестабилизация обстановки или подготовка к более масштабным диверсионным операциям.
Атаки развиваются по классическому для APT-групп сценарию. Скорее всего, первоначальное проникновение осуществляется через целевую фишинговую рассылку, скомпрометированные легитимные программные пакеты или эксплуатацию уязвимостей в периметровом оборудовании. После попадания полиморфного файла на компьютер жертвы и его запуска, в систему загружается и устанавливается фреймворк Mythic. Он обеспечивает злоумышленникам постоянное присутствие (persistence) в сети, создавая скрытые каналы управления. Затем начинается этап постэксплуатации: разведка внутренней сети, горизонтальное перемещение, повышение привилегий и, наконец, кража данных или выполнение деструктивных действий.
В настоящее время российские CERT-команды (Computer Emergency Response Team - группа реагирования на компьютерные инциденты) и коммерческие компании в сфере кибербезопасности изучают данную угрозу. Специалисты рекомендуют организациям из числа потенциальных целей усилить мониторинг сетевой активности, уделить особое внимание анализу аномалий в работе конечных точек и регулярно обновлять средства защиты. Крайне важным является обучение сотрудников, особенно в части выявления целевого фишинга.
Появление APT-группы «Paper Werewolf» с ее изощренным инструментарием подчеркивает растущую сложность киберугроз для критически важных объектов. Инцидент служит очередным напоминанием о необходимости перехода от реактивных к проактивным моделям защиты, включающим углубленный анализ угроз и постоянный поиск признаков компрометации. Борьба с подобными группировками требует не только технологических решений, но и эффективного обмена информацией между всеми участниками рынка кибербезопасности.
Индикаторы компрометации
