Kaip suklastotas „Zoom“ atnaujinimas pavertė teisėtus nuotolinio palaikymo įrankius galinėmis durimis (backdoors)

Neseniai praleidau popietę peržiūrėdamas teismo ekspertizės atvaizdą iš darbo stoties, priklausančios vienos nedidelės advokatų kontoros teisininko padėjėjai. Vartotoja buvo įsitikinusi, kad tiesiog atnaujino savo „Zoom“ klientą, kad galėtų prisijungti prie rytinės parodymų davimo sesijos. Tikrovėje failas, kurį ji paleido, buvo SMOKE#SCREEN pradžios taškas – tai daugiapakopė kampanija, kuri nukreipia autorizuotus IT įrankius prieš tuos pačius tinklus, kuriuos jie turėtų palaikyti. Vartotoja nieko nepastebėjo iki pat savaitės pabaigos, kai jos kompiuteris tapo atspirties tašku judėjimui į šonus per vidinį serverių VLAN.

Tai yra šiuolaikinės socialinės inžinerijos realybė. Užpuolikams nebereikia rašyti sudėtingų, pritaikytų galinių durų (backdoors), kai jie gali tiesiog apgauti vartotoją, kad šis įdiegtų teisėtą nuotolinio stebėjimo ir valdymo (RMM) įrankį. Pagal savo konstrukciją šie įrankiai turi administratoriaus teises, daugelyje aplinkų apeina standartinius leistinų programų sąrašus ir užtikrina stabilų ryšį su išoriniu pasauliu. Užkulisiuose SMOKE#SCREEN kampanija demonstruoja aukštą operacinę brandą, keisdama pristatymo metodus ir vengimo technikas, kad išliktų vienu žingsniu priekyje automatizuotų aptikimo sistemų.

SMOKE#SCREEN infekcijos grandinės anatomija

„Securonix“ tyrėjai neseniai nustatė šią kampaniją, kurioje naudojami jaukai – nuo „Adobe“ ir „Zoom“ atnaujinimų iki verslo dokumentų peržiūrų. Ataka paprastai prasideda nuo tikslinės sukčiavimo (spear-phishing) el. pašto žinutės, kurioje yra užmaskuotas „Visual Basic Script“ (VBScript) parsiuntimo programos (dropper) kodas. Praėjusį mėnesį analizavau panašų pavyzdį, ir kodo paranojos lygis yra įspūdingas. Prieš atlikdamas bet ką kita, skriptas atlieka daugybę aplinkos patikrinimų, kad įsitikintų, ar jis neveikia „smėlio dėžėje“ (sandbox) arba nėra stebimas saugumo tyrėjo.

Jis konkrečiai ieško tokių procesų kaip „Wireshark“, „Process Monitor“ ir įvairių virtualių mašinų paslaugų, pavyzdžiui, „VMware“ ir „VirtualBox“. Jei aptinka bet kurį iš jų, jis nedelsdamas nutraukia darbą. Proaktyviai kalbant, tai neleidžia skriptui atskleisti savo tikrųjų ketinimų automatizuotoms kenkėjiškų programų analizės platformoms. Kai nustatoma, kad aplinka saugi, skriptas iššifruoja „PowerShell“ komandą. Ši komanda prisijungia prie tarpinio serverio adresu 207.189.11[.]170, kad atsisiųstų C# naudingąjį krovinį (payload).

Rizikos požiūriu gudrumas slypi tame, kas vyksta toliau. Naudingasis krovinys neįdiegia viruso tradicine prasme. Vietoj to, jis įdiegia „ConnectWise ScreenConnect“ agentą. Tai yra teisėtas įrankis, naudojamas IT skyrių visame pasaulyje. Kadangi agentas yra pasirašytas ir turi gerą reputaciją, jis dažnai apeina bazines antivirusines patikras. Įdiegtas agentas siunčia signalus (beacons) į užpuoliko valdomą retransliavimo serverį 8041 prievadu, suteikdamas operatoriui pilną nuotolinio darbalaukio prieigą prie aukos įrenginio.

Kodėl užpuolikai renkasi nuotolinio stebėjimo ir valdymo įrankius

RMM įrankių, tokių kaip „ScreenConnect“, naudojimas yra de facto standartas šiuolaikiniams grėsmių sukėlėjams. Tai išsprendžia išlikimo (persistence) problemą. Jei užpuolikas naudoja pritaikytą trojaną, vienas parašų atnaujinimas gali panaikinti jų prieigą. Jei jie naudoja teisėtą RMM įrankį, jie susilieja su autorizuota IT veikla. Dauguma saugumo operacijų centrų (SOC) kasdien mato „ScreenConnect“ srautą, todėl vienas papildomas prisijungimas prie naujo retransliavimo serverio gali nesukelti pavojaus signalo.

Viename SMOKE#SCREEN kampanijos variante užpuolikai naudoja paketų skriptą (batch script), kad agresyviai išjungtų vietinę gynybą prieš diegimą. Skriptas bando išjungti „Windows Antimalware Scan Interface“ (AMSI), modifikuoja registrą, kad išjungtų „SmartScreen“ apsaugą, ir netgi pašalina „Zone.Identifier“ alternatyvų duomenų srautą iš atsisiųsto diegimo failo. Šis paskutinis žingsnis yra reikšmingas, nes jis pašalina „Mark of the Web“ – saugumo funkciją, kuri praneša „Windows“, kad failas gautas iš interneto. Pašalindamas šią žymę, užpuolikas neleidžia pasirodyti tam tikriems saugumo pranešimams, kai paleidžiamas MSI failas.

Aptikimo vengimas naudojant debesijos tunelius ir patikimas platformas

Vienas įdomiausių šios kampanijos aspektų yra tai, kaip ji slepia savo infrastruktūrą. Grėsmių sukėlėjai keitė savo pristatymo strategiją per kelias patikimas talpinimo paslaugas. Pavyzdžiui, jie naudojo „Dropbox“ bendrinamas nuorodas pradiniams kroviniams talpinti. Kadangi „Dropbox“ yra įtrauktas į leistinų domenų sąrašus beveik kiekvienoje įmonės aplinkoje, atsisiuntimas retai sukelia žiniatinklio filtro blokavimą.

Visai neseniai užpuolikai pradėjo naudoti „Cloudflare Quick Tunnels“. Ši paslauga leidžia vartotojui laikinai viešinti vietinį serverį internete be statinio IP ar registruoto domeno. Tarpinis serveris paleidžia „Cloudflare“ dvejetainį failą, kad sugeneruotų trumpalaikius tunelius su pavadinimais, tokiais kaip „subscription-magnetic-recommended-meat.trycloudflare.com“. Kadangi šie URL yra laikini ir susieti su patikimu teikėju, juos beveik neįmanoma blokuoti remiantis vien reputacija. Atitinkamai, užpuolikas turi slaptą, trumpalaikį kelią kenkėjiškiems dvejetainiams failams pristatyti ir valdyti užkrėstą parką (C2).

Nuo verslo jaukų iki žaidimų apgaulių

SMOKE#SCREEN kampanija nėra vienintelė grėsmė, naudojanti šią strategiją. Atskira kampanija, kurią neseniai dokumentavo „Bitdefender“, nukreipta į visiškai kitą demografinę grupę: žaidėjus. Ši veikla apima suklastotas „Xeno Roblox“ apgaules (cheats) ir „vykdymo programas“ (executors), reklamuojamas „Discord“ ir žaidimų forumuose. Kol teisės profesionalas advokatų kontoroje nerimauja dėl „Zoom“ atnaujinimo, paauglys ieško pranašumo vaizdo žaidime. Rezultatas tas pats: pažeista sistema.

Jaukas čia yra suklastota „Xeno Executor“ diegimo programa. Kai vartotojas paleidžia vykdomąjį failą, jis pradeda daugiapakopę „Java“ pagrindu veikiančią infekciją. Galutinis naudingasis krovinys yra vagišis (stealer), pavadintas „Powercat“. Ši kenkėjiška programa yra tarsi šveicariškas peilis duomenų vagystėms. Ji patikrina, ar yra „Java Runtime Environment“, o jei jos nėra, tiesiog išskleidžia savo. Tada ji nuskaito vietinį vaizdo failą pavadinimu „XenoIcon.jpg“, kad rastų raktus, reikalingus susisiekti su savo C2 serveriu adresu solthere[.]net.

„Powercat“ vagišis ir skaitmeninių tapatybių vagystės

„Powercat“ yra daugiau nei paprastas prisijungimo duomenų rinkėjas. Tai stebėjimo įrankis, suteikiantis užpuolikams pilną vaizdą apie aukos skaitmeninį gyvenimą. Jis konkrečiai nukreiptas į interneto naršykles, tokias kaip „Chrome“ ir „Brave“, kriptovaliutų pinigines, tokias kaip „Atomic“ ir „Exodus“, ir net kūrėjų įrankius, tokius kaip „Git“ ir „Visual Studio“.

„Exodus“ kriptovaliutų piniginės vartotojams kenkėjiška programa žengia dar toliau. Ji patikrina, ar įdiegta 26.1.5 versija, ir jei taip, išpakuoja programos vidinius failus, kad įterptų kenkėjišką „JavaScript“. Tai leidžia užpuolikui tiesiogiai perimti sesijos žetonus (tokens). Kenkėjiška programa taip pat įrašo klavišų paspaudimus, daro ekrano nuotraukas, pasiekia internetinę kamerą ir transliuoja darbalaukį realiuoju laiku. Toks prieigos lygis yra skaitmeninė įkaitų situacija. Užpuolikas ne tik pavagia slaptažodį; jis sėdi prie virtualaus stalo kartu su vartotoju.

Atlikdamas savo „Java“ pagrindu veikiančių vagišių bandymus, mačiau, kaip sunku juos aptikti naudojant standartinį failų skenavimą. Kadangi kenkėjiška logika yra užmaskuotame JAR faile, o tą JAR failą dažnai paleidžia teisėtas „Java“ procesas, veikla operacinei sistemai atrodo kaip normalus programinės įrangos vykdymas. Štai kodėl su žaidimais susiję jaukai išlieka tokie veiksmingi. Jie išnaudoja vartotojo norą gauti funkcionalumą ir jų pasiryžimą išjungti saugumo programinę įrangą, kad „apgaulė“ suveiktų.

Praktiniai patarimai gynybai

Vertinant šių kampanijų atakų paviršių paaiškėja, kad žmogaus ugniasienė yra pirmoji nesėkmės vieta. Tačiau techninės kontrolės priemonės privalo užtikrinti apsaugą. Organizacijos ir asmenys turėtų laikytis nulinio pasitikėjimo (zero-trust) mąstysenos, kur kiekvienas programinės įrangos atnaujinimas ar įrankis laikomas įtartinu, kol nėra patikrintas.

• Apribokite MSI vykdymą: Standartiniai vartotojai neturėtų turėti galimybės paleisti MSI diegimo programų be administratoriaus patvirtinimo. Tam naudokite „AppLocker“ arba „Windows Defender Application Control“ (WDAC).
• Stebėkite RMM įrankius: Atlikite savo aplinkos auditą dėl visų RMM agentų. Jei jūsų IT skyrius naudoja „TeamViewer“, bet koks „ScreenConnect“ ar „AnyDesk“ atvejis yra aukšto prioriteto įspėjimas.
• Audituokite „PowerShell“ ir CMD: Stebėkite įtartinus komandinės eilutės argumentus, ypač tuos, kurie susiję su „encodedcommand“ arba bandymais apeiti AMSI ir modifikuoti registrą.
• Taikykite griežtą UAC: Įsitikinkite, kad vartotojo paskyros kontrolė (UAC) nustatyta į aukščiausią lygį. Tai neleidžia kenkėjiškoms programoms tyliai padidinti teisių vartotojui nepastebėjus pranešimo.
• Blokuokite „Cloudflare“ tunelius: Nebent jūsų verslui jų konkrečiai reikia, apsvarstykite galimybę blokuoti trycloudflare.com domeną tinklo perimetre, kad užpuolikai negalėtų naudoti trumpalaikių tunelių C2 ryšiui.

Pagrindinis apsaugos priemonių sąrašas

Kovojant su šiomis grėsmėmis reikia peržengti reaktyvią poziciją. Atmetus spragų lopymą, tikroji kova vyksta dėl to, kam leidžiama veikti galiniame įrenginyje. Jei leidžiate bet kuriam pasirašytam dvejetainiam failui veikti ir susisiekti su internetu, iš esmės paliekate duris neužrakintas bet kuriam veikėjui, kuris gali rasti teisėtą įrankį piktnaudžiavimui.

Šaltiniai: Securonix SMOKE#SCREEN Report, Bitdefender Powercat Analysis, MITRE ATT&CK Framework, NIST Special Publication 800-207 (Zero Trust Architecture).

Atsakomybės apribojimas: Šis straipsnis yra skirtas tik informaciniams ir edukaciniams tikslams ir nepakeičia profesionalaus kibernetinio saugumo audito ar incidentų valdymo paslaugų.