Компании получают деловые письма, в которых отправитель просит подготовить смету для обсуждения бюджета проекта. К сообщению приложен архив, и получателю предлагают распаковать его, чтобы проверить расчёты. Так устроена фишинговая кампания, описанная центром анализа угроз AhnLab (ASEC). Ставка сделана на сотрудников, которые каждый день работают с коммерческими предложениями, тендерами и перепиской с новыми подрядчиками. Тема письма выглядит обыденно, а потому не вызывает лишних вопросов у отдела закупок или финансовой службы.
Описание
Атака начинается с письма, но настоящая работа идёт внутри архива. Там лежит не таблица с цифрами, а файл-сценарий. При открытии он срабатывает без ведома пользователя: никаких предупреждений на экране не появляется. Сценарий ищет на компьютере стандартный текстовый редактор Windows, а затем извлекает из его служебных данных отдельные символы. Из этих символов по частям собирается название системной командной оболочки. Приём рассчитан на то, что готовой подозрительной строки в файле нет, поэтому защитные средства не увидят её при проверке вложений. Собранная оболочка выполняет следующий сценарий, где вместо настоящих команд стоят вымышленные слова-метки. Код намеренно усложняют, чтобы помешать его чтению и автоматическому разбору. Для проверяющего это означает дополнительный час ручной работы над каждым образцом.
По данным AhnLab ASEC, внутри сценария работает таблица подстановок: несколько произвольных слов заменяются на конкретные символы и служебные знаки. Перебирая такие правила, программа восстанавливает исходные команды одну за другой. Проще говоря, злоумышленники снова и снова переписывают одну и ту же строку, пока она не превратится в рабочую инструкцию для системы. Подход удлиняет анализ: вместо поиска знакомой сигнатуры приходится вручную разбирать цепочку замен. Заодно он позволяет менять набор меток от письма к письму, поэтому подписи, собранные на прошлой неделе, на новой волне рассылки уже не срабатывают.
Восстановленная команда заставляет компьютер связаться с командно-контрольным сервером (C2-сервер, узел управления заражёнными машинами) и скачать дополнительную полезную нагрузку. Файлы размещены на популярном облачном сервисе. Он легитимен, поэтому блокировка по адресу почти не работает, и трафик жертвы не выглядит подозрительным на фоне обычной рабочей активности. Загруженный набор разделён на три части - загрузчик, основную полезную нагрузку и вспомогательный сценарий. Всё это сохраняется в скрытой папке внутри профиля пользователя, рядом с обычными документами.
Первым в память попадает вспомогательный сценарий. Он обходит запрос контроля учётных записей (UAC - механизм Windows, который подтверждает действия с правами администратора) и запускает новые команды уже с повышенными правами. Обход идёт через проводник Windows: система доверяет этому компоненту и не показывает пользователю предупреждение. Затем из сохранённого набора извлекается загрузчик. Он снимает шифрование с основной полезной нагрузки и запускает её прямо в памяти, без создания файла на диске. Такой способ исполнения затрудняет обнаружение, поскольку привычные проверки ориентированы на файлы, а не на содержимое оперативной памяти.
Финальный шаг - загрузка программы удалённого доступа Remcos. Её внедряют в доверенный процесс обновления браузера Microsoft Edge, поэтому антивирусные средства реже обращают внимание на такую активность. Дальше программа принимает команды от оператора: перехватывает нажатия клавиш, делает снимки экрана, создаёт и удаляет файлы. Собранные сведения и результаты выполнения заданий уходят на сервер злоумышленников. Один заражённый компьютер превращается в постоянный канал доступа к внутренней сети компании.
Ущерб от подобных кампаний редко ограничивается одной машиной. Через удалённый доступ злоумышленник изучает инфраструктуру, ищет общие сетевые ресурсы и учётные записи с широкими правами. Следующий этап - боковое перемещение: атакующий переходит с одного узла на другой, пока не доберётся до хранилищ с коммерческой тайной, договорами или персональными данными клиентов. Для подрядчика, участвующего в тендерах, утечка смет означает потерю переговорной позиции. Для заказчика - риск срыва сроков и простоев, если пострадают производственные или складские системы. Восстановление обходится дороже, чем профилактика: простой отдела, разбор инцидента и уведомление клиентов ложатся на один бюджет.
Снизить вероятность заражения помогают несколько простых привычек. Адрес отправителя стоит сверять с официальным доменом, даже если тема письма выглядит срочно. Вложения с исполняемыми файлами и сценариями лучше не открывать на рабочем компьютере, а уточнять у контрагента по другому каналу связи. Ссылки проверяют до клика: фишинговые страницы часто ведут к цели через промежуточные перенаправления, и конечный адрес отличается от ожидаемого. Учётные данные вводят только на страницах с защищённым соединением и подтверждённым сертификатом. Двухфакторная аутентификация ограничивает ущерб, если пароль всё же попал к злоумышленнику. Права рядовых сотрудников на рабочих станциях разумно ограничить, чтобы внезапный запрос на их повышение сразу привлекал внимание службы поддержки.
Кампании с использованием легитимных облачных сервисов и файлов-сценариев держатся на простой логике: инфраструктура почти ничего не стоит, а жертву находят среди тех, кто обязан открывать вложения по долгу службы. Пока такие письма доходят до адресата, схема будет приносить результат. Для защитников важнее не разовый отчёт антивируса, а привычка проверять отправителя и вложение до первого клика.
Индикаторы компрометации
