Исследователи кибербезопасности обнаружили ранее не документированную шпионскую кампанию, предположительно связанную с государственным актором и нацеленную на организации в Казахстане и Афганистане. Кампания, активная с августа 2022 года, использует простой, но эффективный троянец удаленного доступа (RAT), получивший название KazakRAT. Интересно, что благодаря оперативной ошибке злоумышленников экспертам удалось перехватить один из управляющих серверов и детально изучить механизмы работы угрозы.
Описание
В ходе мониторинга сетевой инфраструктуры специалисты выявили кластер подозрительных серверов, которые оставались незамеченными с лета 2022 года. Эти серверы использовались в качестве командных центров (C2) в устойчивой кампании. Анализ показал, что злоумышленники применяют Windows-ориентированный RAT, распространяемый в виде библиотеки DLL. Этот вредоносный код, названный KazakRAT, позволяет загружать и запускать дополнительные полезные нагрузки, собирать данные о системе, а также искать и похищать файлы с зараженных компьютеров.
Процесс внедрения KazakRAT отличается простотой. Злоумышленники используют установочные MSI-файлы, которые запускают исполняемый файл для копирования вредоносной DLL и установки механизма устойчивости через ключ реестра Run. При этом для маскировки часто применяются документы-приманки, релевантные для жертв. Например, в одном случае это было поддельное письмо от президента Казахстана, в другом - официальный документ о строительстве мечетей из афганской провинции Хост.
Сама вредоносная программа не обфусцирована, что упростило её анализ. Более того, коммуникация с командным сервером происходит по незашифрованному протоколу HTTP с использованием простого механизма опроса. Каждые пять секунд троянец отправляет на сервер POST-запрос, проверяя наличие новых команд. Сервер отвечает командами в скобках, такими как "(info)" для сбора информации о системе или "(exec путь_к_файлу)" для запуска исполняемого файла.
Важным прорывом в расследовании стала оперативная ошибка противника. Исследователям удалось зарегистрировать один из доменов C2, "dns.freiesasien[.]com", после того как злоумышленники позволили ему истечь. Это позволило перенаправить трафик зараженных систем на контролируемый сервер-ловушку (sinkhole) и пассивно собирать данные о жертвах. Телеметрия показала активные подключения с IP-адресов, относящихся к Казахстану, что подтверждает географическую направленность кампании.
На основе анализа инфраструктуры эксперты также установили, что та же группа использует модифицированную версию открытого шпионского ПО для Android - XploitSpy - для слежки за узбекскими и сирийскими экстремистскими группами. Это указывает на широкий спектр интересов актора. Все серверы KazakRAT располагались в двух автономных системах (AS209847 и AS52469), что демонстрирует определенную модель в выборе хостинга.
Несмотря на длительную и целенаправленную деятельность, группа демонстрирует низкий уровень операционной зрелости. Использование незашифрованного трафика, отсутствие обфускации кода и потеря контроля над доменами C2 говорят об ограниченных ресурсах или опыте. Исследователи отмечают сходство с деятельностью известной группы APT36 (Transparent Tribe), которая также известна использованием XploitSpy и таргетированием Афганистана. Однако однозначной атрибуции провести не удалось.
Простота протокола управления позволила экспертам полностью воссоздать серверную часть C2 на Python. Это дало возможность не только глубже изучить функционал троянца, но и продемонстрировать доказательство концепции, удаленно запустив на зараженной виртуальной машине калькулятор ("calc.exe"). Данный случай наглядно показывает, что даже относительно простые инструменты могут годами использоваться в успешных шпионских операциях, если они нацелены на конкретный, недостаточно защищенный сектор. Кампания оставалась активной на момент публикации отчёта, подчеркивая необходимость повышенного внимания к подобным угрозам.
Индикаторы компрометации
YARA
