Очередная серия атак опирается на легитимные программы удалённого администрирования. Речь о средствах удалённого мониторинга и управления, которые администраторы ставят на компьютеры сотрудников, чтобы обслуживать их из одного центра. На этот раз злоумышленники выбрали инструмент Action1, разработанный одноимённой компанией. Цепочка начинается с обычного письма. Во вложении лежит файл с поддельным счётом-фактурой. Сотрудник открывает документ, и срабатывает скрытый механизм перенаправления. Подозрительных адресов в теле письма нет, поэтому почтовые фильтры пропускают сообщение. Расчёт сделан на рядовых работников бухгалтерии и снабжения, а не на технических специалистов.
Описание
Внутри поддельного счёта-фактуры заложено автоматическое действие. Документ сам обращается к внешнему адресу, как только пользователь по нему кликнул. Такой приём обходит проверки, которые ищут опасные ссылки в тексте сообщения. Открывается страница на облачной платформе Vercel. Оттуда загружается небольшой сценарий на языке VBS. Windows выполняет такие сценарии автоматически, и его даже не пытались маскировать. Затем жертве показывают второй счёт-фактуру - ту же версию, но без размытия. Первый документ выглядел нечётко, и это подталкивало человека открыть его повторно. Пока сотрудник изучает картинку, в фоне скачивается установочный пакет формата MSI, то есть набор файлов для установки программы.
Внутри пакета четыре файла. На момент проверки ни один из них не помечен как вредоносный. Причина проста: это настоящие компоненты продукта Action1. Среди них библиотека для работы с архивами, вспомогательный модуль, основной исполняемый файл агента и отдельная служба. Все они подписаны сертификатом разработчика. Срок действия этого сертификата истёк в мае 2026 года, однако подпись по-прежнему выглядит убедительно для большинства защитных средств. Программа прописывает себя в системе как служба и стартует при каждом включении машины. В системном реестре остаётся ключ с идентификатором клиента, данными сертификата и закрытым ключом.
Разбор загруженных файлов показал, что служба связывается с облачной инфраструктурой Action1 через один из её серверов. Судя по идентификатору клиента, атакующий завёл бесплатную или тестовую учётную запись. Такой доступ даёт почти полный контроль над компьютером: удалённый рабочий стол, передачу файлов, запуск команд, работу с реестром. Пользователь ничего не замечает. В системе трудится подписанная программа от известного разработчика, и повода для тревоги у защитных средств нет.
Завести такую учётную запись несложно. Разработчики подобных сервисов предлагают пробный период, а регистрация занимает несколько минут. Проверка личности при этом обычно не проводится. Атакующему достаточно адреса электронной почты. Именно поэтому средства удалённого управления превратились в удобный инструмент для чужого администрирования, а не только для работы системных администраторов.
Похожий сценарий описывали несколько дней назад. Тогда злоумышленники использовали другой инструмент удалённого управления - ScreenConnect. Совпадение не случайно. Подобные программы созданы для того, чтобы администратор мог глубоко и незаметно вмешиваться в работу чужого компьютера. Тот же набор возможностей нужен атакующему. Поэтому нарушители всё чаще не пишут собственные программы, а берут в аренду чужие.
Выгода для злоумышленника очевидна. Вредоносный код приходится постоянно переделывать, чтобы его не находили антивирусы. Легитимный инструмент обновляется сам, имеет цифровую подпись и годами не вызывает вопросов у сканеров. Вся инфраструктура для управления уже размещена на стороне разработчика. Владелец сервиса при этом может даже не знать, что его продукт применяют против чужой организации. Пока поставщик не начнёт проверять, кто именно подключается к его облаку, схема будет работать.
Последствия для компании зависят от того, что успеет сделать нарушитель. Через установленную программу можно украсть документы и переписку. Можно незаметно перебраться на соседние серверы и расширить зону доступа. В худшем случае злоумышленник разворачивает программы-вымогатели и останавливает работу целых подразделений. Полный доступ к рабочему столу сотрудника часто открывает путь к финансовым системам и базам данных. Чем дольше программа остаётся незамеченной, тем шире становится ущерб.
Защита требует нескольких шагов. Полезно составить список средств удалённого управления, разрешённых в компании, и следить, чтобы на машинах не появлялись другие. Служба безопасности должна отслеживать исходящие подключения к облачным сервисам, не согласованным с ней. Письма с вложениями, которые запускают код, лучше блокировать на почтовом шлюзе. Сотрудников предупреждают, что счёт-фактура не открывает ссылки самостоятельно. Помогает и проверка новых служб на рабочих станциях: пользователь редко ставит средство удалённого управления по своей воле.
Тенденция к злоупотреблению чужими инструментами сохраняется не первый год. Пока разработчики средств удалённого управления не научатся быстро выявлять подозрительные учётные записи, такие схемы будут повторяться. Компаниям остаётся ужесточать контроль над тем, какие программы получают право управлять их компьютерами.
Индикаторы компрометации
