В Корее зафиксирована серия фишинговых рассылок. Авторы писем выдают себя за сотрудников одной из местных компаний. Мошенники оформляют обращение как заявку на закупку материалов для проекта и прилагают таблицу с тем же названием. Получатель, открывший вложение, видит перед собой обычный рабочий документ, поэтому ничего не подозревает. Маскировка работает: заявка выглядит достоверно, тема не вызывает вопросов у отдела снабжения. За этой безобидностью скрывается цепочка заражения, которая заканчивается установкой программы удалённого доступа.
Описание
Адресаты писем - сотрудники, отвечающие за закупки. Для них заявка на материалы для проекта - привычный рабочий документ, и проверку отправителя они откладывают на потом. Отправитель представляется работником другой организации, поэтому переписка похожа на обычную деловую. Мошенники не торопят жертву и не требуют срочных действий. Достаточно, чтобы получатель открыл вложение и посмотрел содержимое. Компании с налаженным документооборотом выглядят особенно привлекательно: одно открытое вложение даёт доступ к внутренней переписке и рабочим файлам.
Ложный документ воспроизводит настоящую форму заявки на закупку. Внутри него злоумышленники спрятали уязвимость CVE-2017-0199 - ошибку в Microsoft Office, известную с 2017 года. Она позволяет запустить на компьютере посторонний код удалённо, без ведома владельца. Пользователю достаточно открыть файл, и этого хватит. Внешне таблица ведёт себя как обычная, предупреждений не появляется.
Как только таблица открыта, она обращается к внешнему серверу злоумышленников и скачивает оттуда файл-сценарий, то есть набор команд для дальнейших действий. Жертва не замечает ни сетевых запросов, ни задержек: обращение происходит в фоне. Затем скачанный сценарий запускается сам. Файл-сценарий внешне напоминает служебную страницу, поэтому браузер не мешает его открытию. Промежуточное звено нужно, чтобы обойти защитные средства, которые реагируют на прямую загрузку вредоносных программ.
{Исследование AhnLab SEcurity intelligence Center (ASEC) показало}, что сценарий не выполняется сразу. Сначала встроенный в Windows инструмент управления запускает скрытую команду в фоновом режиме. Код выглядит запутанным, и это затрудняет разбор, а автоматические системы не распознают угрозу. После расшифровки становится ясна задача команды: загрузить с ещё одного сервера изображение и вытащить из него полезную нагрузку, то есть вредоносный код.
Картинка выглядит безобидно, однако внутри неё скрываются закодированные данные. Приём называют стеганографией: сведения прячут внутри изображения так, что глаз их не различает, а обычные фильтры не находят. Сценарий извлекает нужные фрагменты по специальным меткам и собирает из них программу-загрузчик. Она соединяет вредоносный код в памяти, не сохраняя его на диск, и получает адрес сервера, с которого скачивается основная программа - Remcos.
Remcos относится к классу программ удалённого доступа. Она принимает команды оператора и выполняет их на заражённом компьютере. Среди её возможностей - перехват нажатий клавиш, снимки экрана, работа с файлами. Собранные сведения и отчёты о выполнении команд уходят на сервер управления. Переписка, бухгалтерские файлы и доступы к внутренним системам оказываются в руках оператора. Для организации это оборачивается утечкой внутренних документов и учётных данных. Сотрудник теряет контроль над своим рабочим компьютером, а служба поддержки подолгу не видит причину сбоев.
Схема состоит из нескольких этапов, и каждый следующий включается только после успеха предыдущего. Вложения защитные средства обычно проверяют, а вот внутри безобидной картинки ищут редко. Многоступенчатость даёт злоумышленникам время: пока один этап не сработал, остальные остаются незаметными. Разбор такой цепочки занимает у защитников часы, иногда дни. К тому же каждый шаг начинается лишь после подтверждения, что предыдущий удался.
Защита начинается с проверки отправителя. Адрес должен принадлежать официальному домену компании, а не бесплатному почтовому сервису. Если в письме есть картинка с призывом нажать на неё, сначала проверьте, куда ведёт ссылка: мошенники часто проводят пользователя через посторонние страницы, прежде чем показать настоящий сайт. Вложения с необычными расширениями - повод отказаться от открытия. Офисный пакет и операционную систему обновляйте без задержек, а документы время от времени проверяйте на посторонние вставки.
Отдельного внимания заслуживают просьбы ввести логин и пароль. Перед вводом данных убедитесь, что адрес страницы совпадает с официальным, а соединение защищено. Двухфакторная аутентификация снижает ущерб, даже если пароль уже попал к злоумышленнику. Эти меры просты, но именно они разрывают описанную цепочку на раннем этапе.
Подобные рассылки возвращаются к одной и той же теме. Закупочные заявки, счета, договоры - документы, которые сотрудник обязан открыть по работе. Пока этот канал остаётся открытым, злоумышленники будут использовать его снова. Привычка проверять отправителя и вложение перед открытием снижает риск сильнее, чем любые технические средства. Внимательность сотрудников остаётся самым надёжным барьером на первом этапе атаки.
Индикаторы компрометации
