Каркас VoidShadow, обнаруженный компанией Unit 42, даёт злоумышленнику полный удалённый контроль над захваченным компьютером. Инструмент собран по модульному принципу, поэтому его владелец подключает только нужные части. Найденные к сегодняшнему дню образцы рассчитаны на Linux и Windows. Похоже, каркас готовили для долгой работы внутри чужой сети, а не для короткого набега. Из заражённой машины можно забрать документы и учётные данные сотрудников, запустить собственные команды и распорядиться правами самой операционной системы. При этом хозяин старается оставаться незамеченным максимально долго.
Описание
Скрытность выстроена в несколько слоёв. Один уровень действует в обычной части системы, там, где работают прикладные программы и пользовательские процессы. Другой спускается в ядро - служебную часть операционной системы, которая управляет памятью, устройствами и правами доступа. Компоненты такого рода называют руткитами: они подменяют ответы системы так, что ни пользователь, ни защитные программы не видят посторонних процессов, файлов и сетевых соединений. Разделение на уровни даёт практическую выгоду. Если нижний слой перестаёт работать после обновления ядра, верхний продолжает управлять машиной, и наоборот. Убрать такой набор вручную почти невозможно: защитнику приходится либо полностью переустанавливать систему, либо разбираться с каждым компонентом отдельно.
По данным Unit 42, связь с командным сервером идёт по защищённому каналу TLS - протоколу, который шифрует обмен данными между двумя узлами. Сами сигналы управления замаскированы под обращения к известным облачным сервисам. Внешне они выглядят как обычный рабочий трафик компании: запрос к корпоративному каталогу Microsoft Graph, обращение к сервисам Google Cloud, заход на служебные страницы сайта под управлением WordPress. Сетевые фильтры пропускают такие соединения, потому что по форме они не отличаются от повседневной активности сотрудников. Подтверждений взлома или компрометации этих сервисов у компании нет: чужие имена здесь используют исключительно как прикрытие. Ни Microsoft Graph, ни Google Cloud, ни WordPress не содержат уязвимости, связанной с этим каркасом.
Для службы безопасности последствие очевидно: привычные признаки вторжения перестают срабатывать. Разговор с управляющим сервером идёт по шифрованному каналу, а адрес назначения совпадает с адресом легитимного облачного поставщика. Заметить подмену можно лишь по косвенным деталям - по нетипичному времени обращения, по объёму передаваемых данных, по машинам, которые вдруг начинают общаться с облаком без видимой причины. Поэтому крупные организации с распределённой инфраструктурой оказываются в группе риска. Банки, промышленные предприятия, государственные ведомства и медицина держат много серверов под Linux, а рабочие места сотрудников - под Windows. Захват одной такой машины открывает путь к соседним узлам.
Каркас рассчитан на несколько платформ, и это меняет правила игры. Раньше злоумышленникам приходилось собирать отдельный набор утилит под каждую операционную систему, теперь достаточно одного набора модулей. Кража учётных данных встроена в него как одна из штатных задач. Получив логины и пароли, атакующий спокойно двигается вглубь сети, выдавая себя за законного сотрудника. Заодно он может отключать журналирование и править записи о собственных действиях, чтобы расследование упёрлось в пустоту.
Защита здесь строится на нескольких простых правилах. Обновляйте операционные системы и серверное ПО - большинство вторжений начинается с известных уязвимостей, для которых уже вышел патч. Включите двухфакторную аутентификацию везде, где это возможно: украденный пароль сам по себе перестаёт быть ключом от инфраструктуры. Разделите сеть на сегменты, чтобы заражённый рабочий компьютер не видел бухгалтерию и базы данных. Настройте средства обнаружения угроз на конечных устройствах и следите за аномалиями в сетевом трафике, особенно за обращениями к облачным сервисам, которые не совпадают с рабочими задачами. Храните резервные копии отдельно от основной сети и проверяйте, что восстановление действительно работает.
Тенденция заметна уже не первый год. Злоумышленники всё чаще не ломают чужие сервисы, а пользуются их репутацией. Доверие к крупным облачным платформам превращается в удобное прикрытие, а сам факт обращения к известному домену перестаёт быть признаком безопасности. Разбираться приходится не с адресом, а с поведением: кто именно отправляет запрос, когда и зачем. Только такой взгляд помогает отделить рабочую активность от чужого присутствия в сети, которое может длиться месяцами.
Индикаторы компрометации
