PIVOTPIPE: вредоносная программа на .NET повторяет возможности Cobalt Strike Beacon

Совпадение касается не только набора команд. Программа поддерживает связь с сервером управления, настроенным по стандартному профилю Cobalt Strike, и понимает больше тридцати служебных команд той же системы. Однако реализация заметно отличается: собственный загрузчик, запутанные строки внутри файла, отдельный код для обхода средств защиты. Просто копией это назвать нельзя. В IIJ посчитали программу неофициальной переработкой и дали ей имя PIVOTPIPE по надписям внутри самого файла и его модулей.

Для атакующих такая совместимость означает готовую инфраструктуру. Панели управления Cobalt Strike распространяются годами, поэтому поддерживать новую программу проще. Защитные решения привыкли искать именно оригинальный модуль управления, и переработанная версия обходит часть таких проверок.

Образец разместили в каталоге, доступном по обычной ссылке. Злоумышленники нередко используют подобные хранилища как промежуточный склад: сначала туда попадает файл, затем его подкладывают на взломанный сайт или в письмо. Прямых данных о том, где применялся этот образец, в отчёте нет.

По данным IIJ, вредоносный набор состоит из двух частей: загрузчика и программы удалённого доступа. Загрузчик хранит внутри себя настройки, ключ для расшифровки, вспомогательный модуль маскировки и саму полезную нагрузку. При запуске он раскладывает эти данные во временную папку, расшифровывает и распаковывает основную часть, а затем запускает её прямо в памяти. Исполняемый код на диск не попадает, и это усложняет обнаружение.

Загрузчик умеет получать полезную нагрузку не только из собственного файла, но и по указанному адресу. Такой режим включается отдельным ключом запуска. Настройки и ключ расшифровки при этом поступают из внешнего файла, переменной среды или аргументов командной строки. Гибкость расширяет набор сценариев: один загрузчик подходит и для первой атаки, и для доставки обновлённых версий.

После старта программа удалённого доступа читает настройки и выходит на связь с командно-контрольным сервером (C2-сервером). Список поддерживаемых команд широк: скачивание и выгрузка файлов, копирование и перемещение данных, работа с папками и дисками, вывод списка запущенных процессов и их завершение, выполнение команд в системе, захват и подмена маркеров доступа других процессов, а также перенаправление сетевых портов. Есть и команды для скрытого взаимодействия между заражёнными узлами.

Отдельного внимания заслуживает режим, при котором заражённые машины соединяются друг с другом напрямую. Один узел берёт на себя роль посредника и передаёт трафик остальных на сервер управления. Такая схема скрывает настоящий источник команд и усложняет блокировку на уровне сети. Название PIVOTPIPE как раз отражает идею цепочки из промежуточных узлов.

Для обхода защиты применяется несколько приёмов. Программа отключает встроенный антивирусный интерфейс Windows, который передаёт файлы и скрипты на проверку. Отключение этого механизма лишает защиту одного из уровней контроля. Во время пауз программа маскирует своё содержимое в памяти, чтобы не попасть под сканирование. Часть системных вызовов выполняется напрямую, минуя перехватчики, которые ставят средства защиты на конечных устройствах.

Анализ выявил следы незавершённой работы. При определённых событиях - обращениях к серверу управления или ошибках - программа записывает отладочные текстовые файлы во временный каталог системы. В некоторых модулях сохранились пути, указывающие на рабочую станцию разработчика, включая папку на рабочем столе с набором вспомогательных библиотек. Значит, на момент наблюдения версия оставалась черновой. Средства обхода защиты авторы, вероятно, продолжат дорабатывать.

Чтобы упростить разбор, исследователи выложили в открытый репозиторий скрипт на языке Python. Он извлекает, расшифровывает и распаковывает служебные данные из загрузчика. Такой инструмент пригодится при реагировании на инциденты и изучении новых образцов. В самом отчёте также описаны правила обнаружения, которые можно перенести в системы мониторинга.

Основная угроза касается компаний и государственных структур, где уже есть развитая инфраструктура и ценные данные. Программа удалённого доступа даёт злоумышленнику устойчивое присутствие: он читает документы, запускает команды, перебрасывает файлы между узлами и остаётся незамеченным месяцами. Дальнейшие шаги зависят от цели - от кражи сведений до установки программ-вымогателей.

Смягчить риски помогает регулярное обновление систем и ограничение прав сотрудников на рабочих машинах. Полезно следить за необычными обращениями к внешним адресам и за появлением новых служб. Сегментация сети затрудняет перемещение между узлами, а без него механизм посредников теряет смысл. Двухфакторная аутентификация и контроль учётных записей закрывают часть путей, которыми пользуются такие программы после закрепления в системе.