25 июля 2024 года вышел совместный бюллетень о киберугрозах. Его подготовили ФБР, Агентство по кибербезопасности и инфраструктурной безопасности США (CISA), Агентство национальной безопасности США (АНБ) и разведслужбы Южной Кореи и Великобритании. Документ посвящён северокорейской группе Andariel. Она охотится за секретными техническими данными оборонных, аэрокосмических, ядерных и инженерных организаций по всему миру.
Описание
Группа работает в составе 3-го бюро Главного разведывательного управления КНДР, её центры расположены в Пхеньяне и Синыйджу. В разных отчётах она фигурирует под именами Onyx Sleet (ранее PLUTONIUM), DarkSeoul, Silent Chollima и Stonefly. За пятнадцать лет группа прошла путь от разрушительных атак на организации США и Южной Кореи до специализированного шпионажа и операций с программами-вымогателями. В зоне внимания также находятся компании Японии и Индии. Американские ведомства относят её к числу наиболее устойчивых северокорейских коллективов.
Список интересов широк: танки и самоходные артиллерийские установки, подводные лодки и торпеды, беспилотники, ракеты и системы противоракетной обороны, спутники и радиолокационные станции. Отдельное направление - ядерная отрасль: переработка и обогащение урана, хранилища отходов, атомные электростанции и исследовательские институты. Инженерные компании интересны группе из-за судостроения, промышленных роботов, оборудования для трёхмерной печати и металлообработки. Похищенные чертежи, спецификации контрактов и проектная документация имеют двойное назначение. Отсюда вывод западных ведомств: одна из главных задач группы - закрывать потребности Пхеньяна в данных для военных и ядерных программ.
Деньги на разведку группа добывает атаками программ-вымогателей на американские медицинские учреждения. По данным ФБР и CISA, иногда шпионаж и шифрование данных идут в один день против одной и той же организации. Связь этих атак с КНДР подтверждали и более ранние совместные отчёты. Полученные средства покрывают расходы на разведывательные операции.
Доступ в чужие сети злоумышленники получают через уязвимости в веб-серверах, открытых в интернет. Чаще других упоминается Log4Shell - ошибка в библиотеке Log4j, раскрытая в декабре 2021 года. Через неё на сервер попадает веб-оболочка: программа, которая выполняет команды системы и открывает доступ к чувствительным приложениям. Атаки шли сразу против множества организаций. Помимо Log4j, в ход идут уязвимости в почтовых шлюзах, системах удалённого доступа и средствах управления контентом.
Второй путь - фишинг с вредоносными вложениями. В письмах приходят архивы, внутри которых лежат ярлыки Windows или файлы-сценарии под видом обычных документов. Часть архивов шифруют, чтобы обойти проверки почтовых фильтров. Открытие вложения запускает скрытую установку вредоносного ПО.
После закрепления в системе группа изучает инфраструктуру. Она перечисляет учётные записи, папки и сетевые ресурсы, используя штатные средства операционной системы. Настройки меняются так, чтобы система сохраняла пароли в удобном для кражи виде. Пароли и их зашифрованные отпечатки извлекаются из памяти, кэша и базы домена Active Directory - службы каталогов Microsoft. Для этого применяются Mimikatz, Dumpert и ProcDump, а также утилиты резервного копирования. Добытые привилегии открывают путь к боковому перемещению, то есть к переходу от одного узла сети к другому, и к доступу на критичные узлы.
Связь с управляющими серверами маскируется под обычный веб-трафик. Собранные файлы упаковывают в архивы и отправляют через легитимные облачные сервисы. Другой канал - передача данных на подконтрольные КНДР серверы по стандартным протоколам обмена файлами. Для маскировки трафик заворачивают внутрь другого протокола, что помогает обходить сетевые ограничения. Такой подход усложняет отделение шпионской активности от рядовой рабочей переписки.
Собственные инструменты дают группе полный контроль над заражённой машиной. Она снимает снимки экрана, перехватывает нажатия клавиш, читает историю браузера, следит за запущенными процессами и собирает данные о сетевых соединениях. За время работы группы создано более двадцати программ удалённого доступа. Поздние версии инструментов упаковывают коммерческими упаковщиками VMProtect и Themida. Такие файлы весят несколько мегабайт и содержат защиту от анализа.
Группа активно использует общедоступное вредоносное ПО и легальные утилиты администратора. Из-за этого следы ведут к разным атакующим одновременно. Для точного определения виновника авторы бюллетеня опираются на уникальные образцы и совпадения в управляющей инфраструктуре. В коде встречаются опечатки, например "Microsoft Cooperation" вместо "Microsoft Corporation". Они показывают, что команды набирают вручную, без готового сценария.
Защита строится на нескольких базовых мерах. Организациям советуют вести инвентаризацию систем и быстро устанавливать исправления. Библиотеку Log4j нужно обновлять до актуальной версии. Веб-серверы стоит проверять на посторонние вставки, а уязвимые сервисы прятать за промежуточным сервером с обязательной аутентификацией. Для удалённого доступа необходима двухфакторная аутентификация. Сеть разбивают на сегменты, чтобы скомпрометированный веб-сервер не открывал дорогу к критичным активам. Неиспользуемые порты закрывают. Служба мониторинга должна реагировать на неожиданный запуск легальных утилит администратора.
Отдельно ведомства напоминают о программе вознаграждений Госдепартамента США. За информацию о противоправной деятельности КНДР в киберпространстве обещают до 10 миллионов долларов. Повышенную бдительность авторы документа советуют сохранять оборонным предприятиям, аэрокосмической отрасли, атомной энергетике, инженерным компаниям, а также медицине и энергетике.
Индикаторы компрометации
YARA
