XWorm сочетает удалённый доступ, кражу данных и доставку программ-вымогателей

На практике атакующий выбирает только те компоненты, которые нужны ему сейчас. Один модуль отвечает за сбор паролей, другой - за работу в скрытом режиме, третий - за связь с управляющим сервером. Заказчик оплачивает нужную сборку и получает готовый инструмент под свою задачу. Поэтому программа одинаково опасна и для домашнего ноутбука, и для рабочей станции в корпоративной сети. Гибкость заметно упрощает подготовку: переписывать код под каждую жертву не нужно.

Опасность усугубляет происхождение программы. По данным анализа, XWorm связывают с группировкой DDGroup - объединением, известным применением сложных техник и участием в громких атаках. За обычной на первый взгляд разработкой стоит команда, умеющая вести длительные операции и обходить типовые средства защиты. Опыт группировки превращает XWorm из рядового средства удалённого доступа в платформу для долгого присутствия в чужой инфраструктуре.

Распространяется программа несколькими путями. Самый массовый - фишинговые письма с вложениями: пользователь открывает файл, и заражение начинается само. Другой канал - скрытая загрузка, при которой вредоносный код попадает на компьютер незаметно после посещения взломанного сайта. Для этого злоумышленники используют уязвимости в браузерах и подключаемых модулях. Программа умеет перебираться на новые машины через съёмные носители, включая флеш-накопители, которые сотрудники приносят из дома. Ещё один путь - подключение к удалённому рабочему столу (RDP, протокол дистанционного управления компьютером). Если такой сервис открыт в интернет и защищён слабо, злоумышленник входит в систему напрямую, без письма и без ссылки. Разнообразие путей делает XWorm устойчивым: перекрыть один канал недостаточно.

Слабое место здесь чаще всего не техника, а настройки. Компании открывают удалённый доступ сотрудникам на удалёнке, но забывают ограничить круг адресов и включить дополнительную проверку. Пароли подбираются автоматически, попытки входа идут круглосуточно. Достаточно одного успешного подключения, чтобы злоумышленник оказался внутри сети под учётной записью сотрудника. Дальше он изучает окружение и решает, что вынести.

После закрепления на устройстве программа действует по команде оператора. Она собирает пароли, данные банковских карт, переписку и документы. Часть образцов служит платформой для доставки другого вредоносного кода, включая программы-вымогатели и средства скрытого наблюдения. Кроме того, XWorm способен вызывать сбои в работе системы и запускать отказ в обслуживании. Для человека это потеря доступа к аккаунтам и деньгам, для компании - утечка данных, простой и финансовые потери.

Украденные сведения редко остаются у одного владельца. Логины и номера карт перепродают оптовыми партиями, а доступ к почте и рабочим сервисам используют для новых атак. Через одну скомпрометированную учётную запись преступники рассылают фишинговые письма коллегам жертвы. Так сообщение выглядит убедительнее, и зона поражения расширяется без дополнительных усилий.

Подобные программы давно стали товаром. Их продают по подписке, регулярно обновляют и снабжают готовыми модулями, поэтому атакующим требуется всё меньше подготовки. XWorm появился на сцене сравнительно недавно, но известность получил быстро. Отчасти поэтому число кампаний с его участием растёт, а сложность отдельной атаки падает: инструмент берут на вооружение и опытные группы, и новички.

Защита строится на нескольких простых правилах. Обновляйте операционную систему, браузеры и офисные приложения: большинство атак опирается на уже известные уязвимости. Включайте двухфакторную аутентификацию везде, где она доступна. Не подключайте к рабочему компьютеру посторонние флеш-накопители. Закрывайте удалённый доступ из интернет или ограничивайте его списком адресов и дополнительной проверкой. Копии важных файлов храните отдельно от основной сети. Сотрудников стоит научить настороженно относиться к вложениям от незнакомых отправителей.

Наблюдение за сетью помогает заметить необычные подключения к внешним адресам и всплески активности в ночное время. Разделение сети на сегменты не даёт злоумышленнику свободно перемещаться между серверами и рабочими станциями. Регулярная проверка учётных записей выявляет лишние права и забытые аккаунты бывших сотрудников. Эти меры не дают абсолютной гарантии, но заметно повышают цену атаки для преступника.

За XWorm стоит более широкая тенденция: вредоносные программы всё чаще собирают из готовых модулей. Разработчики продают не готовый продукт, а набор возможностей, который покупатель настраивает под себя. Защита по одному признаку перестаёт работать, а цена ошибки в настройках растёт. Организациям стоит исходить из того, что одна попытка проникновения не отменяет следующей. Внимание смещается с разового устранения последствий на постоянную работу с базовыми настройками: обновления, резервные копии, права доступа и обучение людей.