Эксперты по кибербезопасности из Cisco Talos обнаружили новую кампанию продвинутой постоянной угрозы (APT), нацеленную на правительственные и военные учреждения Индии. Группировка, известная под именами Transparent Tribe, APT36 и Mythic Leopard, не только продолжает использовать свой фирменный троян CrimsonRAT, но и активно внедряет новые инструменты для проникновения в системы и сбора данных. Это свидетельствует о стремлении злоумышленников диверсифицировать арсенал и повысить эффективность шпионских операций, что представляет растущую угрозу для государственного сектора региона.
Описание
Кампания, отслеживаемая с июня 2021 года, построена на классической для этой группы тактике: создании поддельных доменов, имитирующих легитимные государственные и окологосударственные организации, для доставки вредоносной полезной нагрузки. Однако, как отмечается в отчёте Cisco Talos, за последний год противник существенно изменил первоначальные векторы атак и начал применять новые, специально разработанные виды вредоносного программного обеспечения. В частности, наблюдается переход к использованию компактных, легко модифицируемых загрузчиков и дропперов, что позволяет операторам действовать быстро и гибко.
В рамках последней активности злоумышленники применяли несколько методов доставки, включая исполняемые файлы, маскирующиеся под установщики легальных приложений, архивные файлы и документы с макросами. Эти цепочки заражения привели к внедрению трёх типов имплантов. Помимо уже известного трояна удалённого доступа CrimsonRAT, были выявлены два новых инструмента: стейджер на Python, ведущий к развёртыванию инструментов разведки и RAT на платформе .NET, а также облегчённый имплант на .NET для выполнения произвольного кода на заражённой системе.
Transparent Tribe - это группа, которую аналитики связывают с Пакистаном. Её основными целями являются лица и организации, связанные с правительствами и военными ведомствами Индостана, в первую очередь Афганистана и Индии. Для проведения шпионской деятельности группа традиционно использует три основных семейства вредоносного ПО для Windows. CrimsonRAT, имплант на .NET, остаётся её ключевым инструментом с 2020 года, постоянно эволюционируя. ObliqueRAT, имплант на C/C++, применяется в более таргетированных атаках, где важна скрытность. Кроме того, группа разрабатывает собственные, легко развёртываемые загрузчики, дропперы и облегчённые RAT с ограниченными возможностями.
Особое внимание в текущей кампании уделено использованию загрузчиков, маскирующихся под установщик приложения Kavach - системы многофакторной аутентификации, широко применяемой индийскими госслужащими и военными для доступа к правительственным ИТ-ресурсам, например, к почтовым сервисам. Эти дропперы, написанные на .NET, при запуске проверяют, соответствует ли часовой пояс системы ключевым словам вроде «India», демонстрируют жертве экран установки Kavach, а затем обращаются к вредоносному сайту для загрузки основной полезной нагрузки. После этого они могут загрузить и запустить легальную копию установщика Kavach, чтобы придать всей цепочке легитимный вид.
Эволюция векторов атак демонстрирует постоянное совершенствование тактик группы. Если в июне-июле 2021 года для доставки загрузчиков активно использовались вредоносные документы с макросами, то затем злоумышленники перешли на нетрадиционные методы. В июне 2021 года они распространяли вредоносные артефакты, завёрнутые в образы дисков IMG, что позволяет обходить некоторые ограничения безопасности в новых версиях Windows. В сентябре 2021 года для доставки стали использоваться файлы VHDX, которые не сохраняют метку о происхождении из интернета, что позволяет запускать вредоносный код без предупреждений со стороны Microsoft Office. В ноябре 2021 года группа прибегла к распространению вредоносного ПО через запароленные архивы RAR, размещённые на публичных файлообменниках, что, вероятно, сочеталось с целевой рассылкой писем с паролями.
Анализ имплантов показывает их опасный потенциал. Последняя версия CrimsonRAT, наблюдаемая в январе-феврале 2022 года, обладает широким набором функций для шпионажа: сбор списков файлов и процессов, запуск кейлоггера и модуля для съёма данных с USB-накопителей, создание скриншотов, выполнение произвольных команд, эксфильтрация файлов и удалённое управление системой. Новый облегчённый имплант на .NET, хотя и имеет меньше возможностей, всё же позволяет контролировать систему, собирать информацию о ней и выполнять файлы с командного сервера. Python-стейджеры служат для первоначальной разведки и последующей загрузки более серьёзных инструментов, таких как специализированная DLL для сбора данных.
Целевой характер кампании не вызывает сомнений. Используемые приманки точно соответствуют интересам индийских госслужащих: темы, связанные с Седьмой центральной комиссией по оплате труда, рекомендации по COVID-19, поддельные резюме и документы с опытом работы сотрудников Министерства обороны. Кроме того, группа активно клонирует легальные правительственные сайты, используя инструменты вроде HTTrack, для создания фишинговых ресурсов и размещения вредоносных артефактов.
Таким образом, Transparent Tribe подтверждает статус высокоактивной и мотивированной APT-группы, чья основная цель - установление долгосрочного доступа в сети целей для шпионажа. Хотя её методы не всегда отличаются высокой сложностью, постоянная эволюция тактик, диверсификация вредоносного арсенала и агрессивные попытки заражения делают её серьёзной угрозой. Организациям, особенно в государственном и военном секторе региона, необходимо укреплять стратегии глубокой обороны, основанные на анализе рисков. Критически важным является не только внедрение превентивных мер, таких как фильтрация трафика, анализ вложений и повышение осведомлённости пользователей о фишинге, но и наличие отработанного плана реагирования на инциденты, регулярно тестируемого в ходе учебных упражнений и совершенствуемого на основе реального опыта. Бдительность в отношении подобных угроз должна оставаться на высоком уровне, поскольку их распространение в будущем весьма вероятно.
Индикаторы компрометации
