В начале 2021 года правоохранительные органы нескольких стран провели операцию против ботнета (сети заражённых устройств) Emotet. Годами эта сеть служила главным каналом доставки вредоносных программ. Часть отрасли ждала, что связанные с ней группировки лишатся доступа к тысячам заражённых машин и свернут дела. Прогноз не сбылся. IcedID, известная также как BokBot, сохранила работоспособность и к середине 2021 года расширила инфраструктуру до более чем 1500 доменов и 250 с лишним серверов. Под удар попадают банки, промышленные компании и частные пользователи онлайн-банкинга.
Описание
История IcedID началась с банковского трояна (вредоносной программы, которая скрытно работает на устройстве). Программа встраивалась в сеанс связи между клиентом и банковским сайтом. Она перехватывала логины, пароли и коды подтверждения, а затем инициировала переводы денег со счетов жертвы. Пользователь при этом видел привычные страницы, хотя работал с подделанной версией сайта. Постепенно набор функций расширился. Из средства доставки чужого кода IcedID превратилась в самостоятельный инструмент, который устанавливает на устройства программы-вымогатели. Такие программы шифруют файлы и требуют выкуп за их возврат. Для компании это означает остановку работы, потерю документов и переговоры со злоумышленниками под давлением.
Раньше IcedID распространялась преимущественно через Emotet. После остановки ботнета операторы стали перестраивать схему. Они искали новые точки входа, меняли управляющие серверы, пробовали другие способы доставки. Наблюдение за этими процессами завершилось подробным описанием действующей сети. В его основе лежит принцип повторяющихся признаков. По ним инфраструктуру одной группировки можно отличить от чужой с высокой точностью.
Точкой отсчёта стал список управляющих доменов, который в феврале опубликовали аналитики FireEye. По данным Team Cymru, работа с этой выборкой вывела на несколько десятков связанных адресов и первую группу серверов. Затем схема повторялась. Свежие находки добавляли в архив истории доменных записей, оттуда вытягивали новые связи, и так до тех пор, пока список не исчерпался. Перекрёстный анализ даёт устойчивый результат, поскольку злоумышленники переиспользуют одних и тех же регистраторов, поставщиков хостинга и шаблоны настроек.
Метод опирается на повторяющиеся признаки: редкие зоны верхнего уровня; всего два регистратора доменов; ограниченный круг хостинг-провайдеров. Совпадение всех трёх деталей указывает на одного заказчика. Дополнительным маркером служит самоподписанный цифровой сертификат с фиктивными реквизитами. Владельцем указана организация-заглушка, а страна и регион не имеют отношения к реальному размещению серверов. Такой же сертификат встречается на десятках узлов сети. Вдобавок серверы выдавали признаки платформы OpenResty - программного обеспечения на базе веб-сервера Nginx для обработки трафика. Этот инструмент операторы IcedID применяют для управления с 2017 года.
Отдельный слой сети составили промежуточные серверы. Они принимали трафик от основной группы узлов и передавали его дальше по защищённому соединению. Так истинные адреса управляющих центров оставались скрытыми. Все посредники отвечали одним и тем же сертификатом с внутренним именем. Впервые его заметили на площадке финского провайдера, а позже - ещё на шестнадцати серверах. География размещения включает Россию, Польшу, Германию, Латвию, Финляндию и Испанию. Большая часть мощностей приходится на российские сети.
Активность промежуточного звена резко упала 29 апреля 2021 года. Спад сохранялся и на момент публикации отчёта. Однако это не признак сворачивания операции. Основная сеть продолжает действовать, а её размеры говорят о серьёзных ресурсах группировки. Чтобы помочь защитникам, авторы публикации выложили перечень обнаруженных индикаторов (признаков, по которым вычисляют заражённые узлы) в открытый доступ. Сведения доступны в репозитории на GitHub и в ленте Twitter. Компании могут использовать эти данные для поиска заражённых устройств в собственной инфраструктуре.
Практический вывод для бизнеса прост. Программы-вымогатели, которые доставляет IcedID, приводят к простоям и потере репутации. Поэтому базовые меры не теряют смысла. Компаниям стоит наладить своевременные обновления систем и включить двухфакторную аутентификацию для сотрудников. Регулярные резервные копии, ограничение прав доступа и разделение сети на изолированные участки снизят ущерб. Полезно также следить за обращениями к подозрительным адресам из корпоративной сети. Чем быстрее такой сигнал попадёт к службе безопасности, тем меньше потери.
Инфраструктура IcedID выдержала операцию против Emotet. Пока одни узлы перестают отвечать, другие берут на себя их функции. Перекрёстный анализ трафика и доменных записей каждый раз вскрывает новые связи. Рассчитывать на то, что группировка исчезнет сама, не приходится.
Индикаторы компрометации
