В киберпространстве активизировалась новая, технически продвинутая группировка хакеров, нацеленная на российские государственные органы и объекты критической информационной инфраструктуры (КИИ). Эксперты по кибербезопасности присвоили угрозе обозначение APT (Advanced Persistent Threat - комплексная постоянная угроза) «Paper Werewolf» («Бумажный оборотень»). Группировка осуществляет целевые компьютерные атаки, используя сложную тактику и оригинальное вредоносное программное обеспечение (ПО).
Описание
Особенностью атак «Paper Werewolf» является применение фреймворка для постэксплуатации под названием Mythic. Этот инструментарий позволяет злоумышленникам, уже получившим первоначальный доступ к системе, эффективно управлять зараженными компьютерами, скрытно перемещаться по сети, красть данные и развертывать дополнительный вредоносный код. Однако главная «изюминка» в арсенале группировки - это механизм доставки и запуска данного фреймворка.
Злоумышленники распространяют Mythic с помощью специально сконструированных исполняемых файлов, обладающих уникальной полиформатной структурой. Проще говоря, один и тот же файл может быть прочитан и интерпретирован разными операционными системами или анализаторами как несколько различных форматов. Например, файл может одновременно маскироваться под безобидный документ, архив и исполняемый скрипт. Подобная техника, известная как полиморфизм или создание файлов-«франкенштейнов», серьезно затрудняет работу традиционных средств защиты, таких как антивирусы и системы обнаружения вторжений (IDS).
Такой файл-«хамелеон» позволяет обойти статические сигнатурные методы детектирования, которые ищут известные шаблоны вредоносного кода. Более того, он повышает шансы на успешное исполнение, поскольку может использовать уязвимости или особенности обработки файлов в разных средах. Это свидетельствует о высоком уровне технической подготовки атакующих и их нацеленности на преодоление современных систем киберзащиты.
Выбор цели - государственный сектор и субъекты КИИ - указывает на возможную политическую или геостратегическую мотивацию группировки. Успешная атака на такие объекты может привести не только к утечке конфиденциальной информации, но и к нарушению функционирования жизненно важных служб. Эксперты предполагают, что конечными целями могут быть шпионаж, дестабилизация обстановки или подготовка к более масштабным диверсионным операциям.
Атаки развиваются по классическому для APT-групп сценарию. Скорее всего, первоначальное проникновение осуществляется через целевую фишинговую рассылку, скомпрометированные легитимные программные пакеты или эксплуатацию уязвимостей в периметровом оборудовании. После попадания полиморфного файла на компьютер жертвы и его запуска, в систему загружается и устанавливается фреймворк Mythic. Он обеспечивает злоумышленникам постоянное присутствие (persistence) в сети, создавая скрытые каналы управления. Затем начинается этап постэксплуатации: разведка внутренней сети, горизонтальное перемещение, повышение привилегий и, наконец, кража данных или выполнение деструктивных действий.
В настоящее время российские CERT-команды (Computer Emergency Response Team - группа реагирования на компьютерные инциденты) и коммерческие компании в сфере кибербезопасности изучают данную угрозу. Специалисты рекомендуют организациям из числа потенциальных целей усилить мониторинг сетевой активности, уделить особое внимание анализу аномалий в работе конечных точек и регулярно обновлять средства защиты. Крайне важным является обучение сотрудников, особенно в части выявления целевого фишинга.
Появление APT-группы «Paper Werewolf» с ее изощренным инструментарием подчеркивает растущую сложность киберугроз для критически важных объектов. Инцидент служит очередным напоминанием о необходимости перехода от реактивных к проактивным моделям защиты, включающим углубленный анализ угроз и постоянный поиск признаков компрометации. Борьба с подобными группировками требует не только технологических решений, но и эффективного обмена информацией между всеми участниками рынка кибербезопасности.
Индикаторы компрометации
Domains
- newgenius.org
- newgeniusqwsa.org
URLs
- https://newgenius.org:443/piece/candle
- https://newgeniusqwsa.org:443/piece/candle
MD5
- 4eba33c62a8292e0d1c9990cbf63a633
- 82977c06adfaa4e4ba4894467af9d24b
- 963f2ba32d9575eae754fb94250eada0
- bf7d43ee53c4e7c2c071d4528b75977f
SHA1
- 0eb0ca293f1b1559a7ce89e3906d8d4b2372686b
- 2084393a1d83f3dd503a1ffa8915246ffb5bd023
- 5e9097976e623fac0fa8fe2919b1f225f24a882d
- 8e4338f74bde350cbdeb55a4fa4770b515d9b28c
SHA256
- 0c9318fb0d298471548126751b8a6bfa24f5caeba7260eac2a1d22eb6a843bbb
- 26f70ce9746f094adf93e0c6e133b6262e3ed8676530556f6d0485943b9defb4
- 5b96a24bc049e4cdb1b76e8ef6044f7a7348273123dcdb4397b4258f5a120ae1
- 79c97e08d039d7b33e838000f1f669339bfef3d5e82c486a2a3e777a75e29260
- 7e0c5df47805d858a317d468527f47d69fc0fb2b25276dc3260a8adcbd4fba10
- 8c322af241e1c57acccfac66f7f069df581c4ae6f60054edfff974039caf7a27
- a36234faec6a06a56cfef0e35f9231f383234405d2a6df1230667fa4bb45f4ed
- b6072692cdfee78b36bdac54a2c760bbd48fc27ee386e133deb50d1ce10b07c1
- cb264eb25bce8a4c9f4cfbdb8408aeae5749558e6fee744904753a887df3ed6f
- f26ba29b5bc61d5b3b9003ff8dd87f66c5cf2a3170b15a1ef4bc89ff5e30b65c
