Выявлена многоэтапная кампания, доставляющая ранее не документированную программу удалённого доступа AgtaBackup. Под угрозой рабочие станции сотрудников компаний и государственных структур. Целевую отрасль злоумышленники не выбирают, ставка сделана на невнимательность конкретного человека. Прямого взлома защиты не происходит. Пользователя убеждают самому установить вредоносное ПО и подтвердить системное предупреждение.
Описание
Начало схемы - страница, копирующая популярный сервис видеоконференций. Внешне она повторяет карточку товара в Microsoft Store. Домен при этом никак не связан с правообладателем. По ссылке загружается настоящее средство удалённого мониторинга и управления, RMM (программное обеспечение для удалённого администрирования рабочих станций). Установщик несёт подпись легитимного разработчика, поэтому антивирусы не видят в нём угрозы.
Подмена опирается на доверие к знакомым интерфейсам. Карточка магазина выглядит обычно, кнопка ведёт на файл установщика. Сама система удалённого управления - легитимный продукт, которым ежедневно пользуются службы поддержки. Защитные решения не блокируют загрузку. Запрос на повышение прав тоже не отличается от стандартного.
После установки, по данным анализа, средство подключается к арендованной злоумышленниками облачной среде. Пользователь видит обычный диалог установки. Одно нажатие кнопки открывает тихий удалённый доступ к компьютеру. Дальше атакующий работает в системе как штатный администратор. Сторонних файлов он пока не запускает.
Пауза между заражением и активной фазой длится от нескольких часов до нескольких дней. Затем оператор открывает удалённый терминал через ту же консоль. Он вставляет одну длинную команду. Та скачивает установщик AgtaBackup и запускает его без окон и уточняющих вопросов. Со стороны это выглядит как рутинная задача администратора, поэтому журналы редко вызывают вопросы.
Программа прописывается в системе как скрытая служба с максимальными правами. Название Agta Backup взято из служебных записей внутри самого файла. Каталог установки и имя службы тоже отсылают к этому названию. Основной модуль маскируется под системный компонент Windows Credential Guard. Вспомогательные исполняемые файлы выдаются за утилиты Dell и средства проверки безопасности Windows.
Функциональность трояна широка. Он собирает логины, пароли и файлы cookie из девяти семейств браузеров: Chrome, Edge, Brave, Opera, Opera GX, Vivaldi, Chromium, Yandex и Firefox. Журнал нажатий клавиш ведётся с привязкой к окну, программе и адресу страницы. Снимки экрана делаются без ведома владельца. Управляющий сервер умеет запускать команды, передавать файлы в обе стороны и открывать скрытый рабочий стол с терминалом. Отдельно собирается инвентаризация: модель компьютера, версия операционной системы, имя активного пользователя и список установленных средств защиты. Эти сведения помогают подобрать дальнейшие действия.
Отдельного разбора заслуживает обход контроля учётных записей Windows. Специальный помощник переносит системное окно подтверждения с защищённого рабочего стола на обычный. Для этого меняется настройка системы, отвечающая за безопасный ввод пароля. Злоумышленник получает возможность подставить нажатия удалённо. Скрытое окно терминала остаётся невидимым для вошедшего пользователя.
Закрепление обеспечивают две системные задачи. Каждую минуту они проверяют состояние службы. Если её остановить или удалить каталог установки, восстановление занимает меньше минуты. Каталог очищается от посторонних файлов. Модуль обновления сам скачивает свежую версию с сервера злоумышленников. Служба скрыта не только от обычных пользователей, но и от локальных администраторов.
Защита от обнаружения продумана заранее. Управляющий сервер может в любой момент переименовать вспомогательные модули. Привязка к именам файлов перестаёт работать. Основной канал связи дублируется резервным. Параметры подключения программа хранит в системных переменных среды.
Ущерб от такой кампании измеряется не одной машиной. Украденные данные браузеров открывают доступ к корпоративной почте, внутренним порталам и VPN-сервисам. Скомпрометированная станция становится точкой входа в сеть компании. Для крупных организаций это риск утечки коммерческой тайны и простоя. Небольшие компании теряют доступ к бухгалтерским и клиентским системам целиком. Восстановление рабочей станции требует переустановки системы и смены всех паролей, которые хранились в браузере.
Защита строится на нескольких правилах. Сотрудники должны переходить на сайты сервисов по адресам из закладок, а не по ссылкам из поиска. Отдел ИТ ограничивает круг разрешённых средств удалённого администрирования и следит за их подключениями. Ревизия установленных средств удалённого доступа на рабочих станциях помогает вовремя заметить лишнее. Ограничение прав обычных сотрудников на установку программ снижает риск. Двухфакторная аутентификация уменьшает ценность украденных паролей. Регулярные обновления браузеров и операционной системы закрывают часть векторов. Полезно отслеживать скрипты, которые скачивают и тихо устанавливают программы.
Ключевая особенность кампании - ставка на легитимные и подписанные инструменты. Средства удалённого администрирования давно применяют для входа в чужие сети. Отличить их от штатной работы администратора сложно. Проверка подлинности источника установочных файлов остаётся базовой мерой. Похожие схемы появятся и дальше. Компаниям стоит заранее описать, какие средства удалённого доступа допустимы, и требовать подтверждения для каждого нового подключения.
Индикаторы компрометации
