Поддельный установщик мессенджера KakaoTalk распространяется через поисковые системы. Человек вводит привычный запрос, видит знакомое название в верхних строках выдачи и скачивает файл с чужого сайта. Вместо программы на компьютер попадает набор вредоносных компонентов. Сам установщик при этом ведёт себя как обычный: показывает окна, копирует файлы, завершает работу. Расчёт сделан на тех, кто не проверяет адрес ресурса и доверяет первой ссылке. KakaoTalk популярен прежде всего в Южной Корее, поэтому география жертв совпадает с регионами массового использования мессенджера. Отдельный риск - корпоративные ноутбуки, куда сотрудники ставят приложения самостоятельно, без ведома ИТ-службы.
Описание
Оболочка подделки менялась от версии к версии. Сначала злоумышленники собирали установщик на платформе NSIS, затем переключились на Advanced Installer, а в последних образцах задействовали Inno Setup. Смена упаковщика мешает защите искать вредоносное ПО по узнаваемым признакам: каждая сборка выглядит иначе. Внутри находились одновременно настоящие файлы установки и вредоносные модули. Легитимная часть нужна, чтобы установка доходила до конца и не вызывала подозрений. Пользователь до последнего момента не замечал чужих вставок, поскольку все привычные шаги - выбор папки, подтверждение условий, запуск - проходили без сбоев и ошибок.
Полезная нагрузка запускалась после того, как жертва открывала файл. Первым шагом шёл шелл-код - короткий фрагмент вредоносного кода, который исполняется прямо в памяти и не сохраняется на диск отдельным файлом. На раннем этапе атакующие правили легитимные файлы, подписанные действующими цифровыми сертификатами: подпись оставалась валидной, а содержимое - уже нет. В свежих вариантах ставку сделали на подмену библиотек, когда обычная программа по ошибке загружает чужой модуль вместо своего. Как показало исследование, один из таких случаев опирался на утилиту панели управления Java: она загружала стороннюю библиотеку, та связывалась с командно-контрольным сервером (C2-сервером, который управляет заражёнными машинами) и скачивала программу удалённого доступа ValleyRAT. Дальше злоумышленник распоряжается чужой машиной по своему усмотрению.
Способы доставки шелл-кода тоже усложнялись. В дело пошли загрузчики sRDI и Donut Loader, простое шифрование содержимого, отказ от чтения файла с диска в пользу размещения кода сразу в памяти процесса. Добавилась и виртуализация кода - приём, при котором логика программы превращается в набор инструкций для несуществующего процессора и теряет читаемость при разборе. В самых новых образцах код спрятали в PNG-картинке в зашифрованном виде. Это стеганография, то есть сокрытие данных внутри безобидного на первый взгляд файла: изображение открывается как обычная картинка, а внутри лежит готовая к запуску нагрузка.
Имена вредоносных файлов и создаваемых каталогов собирались из случайных наборов символов. Часть строк генерировал сторонний сетевой сервис, который атакующие использовали как бесплатный источник случайных значений. В последнем варианте файл появлялся в каталоге среды MSYS2 - набора инструментов для сборки и запуска программ, - регистрировался как служба Windows и стартовал вместе с системой. Такой каталог для администратора выглядит обычной рабочей папкой разработчика, поэтому лишний процесс там замечают не сразу. Финальной нагрузкой оказался Ghost, а домен, к которому обращался образец, совпал с инфраструктурой, ранее связанной с сервером управления Ghost, доставлявшим другой вредоносный модуль - MODBEACON.
Последствия для заражённой машины типичны для программ удалённого доступа. Атакующий получает постоянный канал управления, может читать файлы, перехватывать нажатия клавиш, запускать новые модули и переходить на соседние узлы сети. Для компании это оборачивается утечкой переписки и внутренних документов, простоем рабочих мест и расходами на восстановление. Для частного пользователя риск связан с доступом к аккаунтам и платёжным данным.
Авторы отчёта допускают связь кампании с экосистемой SilverFox, известной также как UTG-Q-1000. Однозначно назвать исполнителей они не берутся. Совпадение инфраструктуры само по себе не доказывает авторство: серверы управления переходят между группировками, продаются и переиспользуются. Подтверждено другое - набор приёмов устойчив и воспроизводится от сборки к сборке, а обновления выходят регулярно.
Описание техник ведётся по базе MITRE ATT&CK, справочнику тактик и приёмов атакующих. В списке значатся продвижение вредоносного ресурса через поисковую выдачу, маскировка под легитимную программу, расчёт на то, что файл откроет сам пользователь, загрузка кода в память процесса и запутывание кода, чтобы затруднить его разбор.
Защита начинается с привычки не доверять первой ссылке в поиске. Установочный файл KakaoTalk берите только с официального сайта, а адрес страницы сверяйте вручную. Полезно просматривать профиль пользователя на предмет посторонних папок, замаскированных под компоненты мессенджера, и проверять каталог среды MSYS2, если она не нужна для работы. Найденные объекты удаляют, а машину проверяют антивирусными средствами. Корпоративным службам имеет смысл ограничить самостоятельную установку программ и напоминать сотрудникам, что поддельный установщик почти неотличим от настоящего по внешнему виду. Поисковая выдача остаётся удобным каналом доставки именно потому, что пользователь сам приходит к злоумышленнику и сам запускает файл.
Индикаторы компрометации
