В феврале 2015 года американская страховая компания Anthem раскрыла масштаб взлома, из-за которого пострадали более 80 миллионов медицинских записей. След по цифровым отпечаткам привёл к группировке Black Vine. К тому моменту она вела кибершпионаж как минимум три года.
Описание
Инцидент заметили в конце января 2015 года. Системный администратор обнаружил, что кто-то выполнил запросы к внутренней базе данных от его имени. Само проникновение, по оценкам, началось ещё в мае 2014 года. Anthem - вторая по величине медицинская страховая компания США, и утечка такого объёма стала крупнейшей в отрасли. Медицина не была единственным интересом Black Vine. С 2012 года группировка атаковала энергетику, аэрокосмическую отрасль, оборону, финансы, сельское хозяйство и технологические компании.
Основной приём Black Vine - атака через компрометацию легитимного сайта (watering hole). По данным Symantec, злоумышленники взламывают ресурс, который регулярно читают сотрудники нужной им отрасли, и размещают на нём код, заражающий посетителей. Жертва ничего не подозревает: сайт выглядит обычным, а вредоносное ПО загружается в фоне. Такой подход позволяет охватить сразу десятки компаний, не рассылая писем и не привлекая лишнего внимания.
Заражение происходило при открытии подменённых страниц в уязвимых версиях Internet Explorer. Эксплуатация уязвимости нулевого дня устанавливала полезную нагрузку без участия пользователя. В декабре 2012 года пострадал производитель газовых турбин Capstone Turbine, а через несколько дней - ещё один производитель турбинного оборудования. Тогда злоумышленники применяли уязвимость CVE-2012-4792, для которой на тот момент не существовало исправления.
Пострадавшие получали одну из трёх версий вредоносного ПО: Hurix, Sakurel или Mivast. Все три относятся к одному семейству и, судя по совпадающим фрагментам кода, созданы одними и теми же разработчиками. Функции у них схожи: удалённый доступ к компьютеру, запуск команд, изменение системных настроек и сбор сведений о машине. Маскировали программы под безобидные корпоративные приложения - средства видеосвязи, удалённого доступа и виртуальные частные сети. Чтобы обойти проверки, авторы подписывали файлы цифровыми сертификатами корейских софтверных компаний; позже эти сертификаты отозвали.
В феврале 2014 года жертвой стала европейская аэрокосмическая компания. Её сайт заразил посетителей, а среди целей оказались и другие участники отрасли. Исследование зафиксировало необычную деталь: после заражения вредоносная программа правила служебный файл операционной системы, сопоставляющий доменные имена с сетевыми адресами. Правки при этом указывали на настоящие адреса, а не подменяли их. Смысл такого шага остался неясным, поскольку стандартный механизм разрешения имён давал тот же результат.
Почти одновременно с атакой на аэрокосмическую компанию неизвестные взломали сайт американской ветеранской организации. Там использовалась та же уязвимость нулевого дня, но устанавливалось другое вредоносное ПО - из арсенала иных группировок. Похожая картина наблюдалась и в 2012 году, когда атаки на Capstone Turbine и на аналитический центр совпали по времени и эксплойту. Совпадения указывают на общую платформу распространения эксплойтов, которую в Symantec называют Elderwood. Доступ к ней получали сразу несколько групп, специализирующихся на кибершпионаже, а их происхождение связывают с Китаем.
Отдельная линия расследования касается исполнителей. Инфраструктура, задействованная в атаке на Anthem, зарегистрирована в Китае, а часть доменов пересекается с названием пекинской организации Topsec, которая занимается исследованиями в сфере безопасности, обучением и проводит собственный конкурс для специалистов. Прямых доказательств нет, однако устойчивые совпадения в регистрационных данных дают основания говорить о возможной причастности отдельных сотрудников. Авторы отчёта подчёркивают осторожность выводов: речь идёт о вероятной связи, а не о доказанном факте.
География заражений смещена в сторону США. За ними следуют Китай, Канада, Италия, Дания и Индия. Среди отраслей чаще всего страдали аэрокосмическая и медицинская, а энергетика и оборонный сектор оказались вторыми по частоте целями. Устойчивость кампании на протяжении трёх лет говорит о серьёзном финансировании и постоянной команде разработчиков, которая обновляет код после каждого разоблачения.
Защита от подобных схем строится на базовых мерах. Браузеры и операционные системы стоит обновлять сразу после выхода исправлений, поскольку именно необработанные уязвимости открывают путь для атак на водопое. Двухфакторная аутентификация усложняет использование украденных учётных данных. Доступ администраторов нужно ограничивать, а действия с базами данных - отслеживать и сверять с обычным поведением сотрудников. Отдельного внимания заслуживает осведомлённость персонала: сотрудники должны понимать, что письмо или ссылка с неожиданным вложением могут исходить от имени надёжного отправителя. Исходящий трафик к незнакомым узлам стоит контролировать, ведь именно по нему украденные данные покидают корпоративную сеть.
Индикаторы компрометации
