На столе появился новый «вкус» для взлома, но не тот, который понравится защитникам.
Новый отчет глобальной компании по безопасности ESET описывает «сложный, модульный и тесно взаимосвязанный» набор инструментов, предназначенный для работы на скомпрометированных серверах Exchange в целях долгосрочного кибершпионажа.
Вредоносное ПО получило название «Cereal» (хлопья), поскольку оно в значительной степени полагается на сериализацию — технику, используемую для упаковки данных и кода при передаче. Оно включает в себя новый модуль сбора электронной почты Exchange, скрытный механизм командного управления (C&C) и хитрые приемы выполнения .NET.
Хотя в настоящее время оно используется государственными субъектами для атак на правительственные органы, предприятиям все равно следует проявлять обеспокоенность.
«Подобные методы работы редко остаются у своих создателей», — сказал Фрэнк Диксон из Dickson Research, приведя аналогию из бейсбола: «Преступные группы изучают методы государственных акторов так же, как игроки низших лиг изучают хватку питчера высшей лиги. То, что работает в высшей лиге, в конечном итоге появляется на каждом стадионе».
Сложные методы работы
ESET описывает Cereal как набор вредоносных программ, который работает на серверах Microsoft Exchange, получает команды и выполняет их в памяти, картирует организацию жертвы и собирает выбранные сообщения электронной почты. Внешняя сетевая инфраструктура не была обнаружена; вместо этого набор инструментов содержит пассивный бэкдор, который работает на целевых серверах и обеспечивает доступ. Он оставляет мало следов на диске.
Исследователи отметили, что одним из наиболее интересных аспектов набора инструментов является то, чего они не нашли: внешняя инфраструктура C&C. Скомпрометированный сервер Exchange жертвы фактически «привлекается» для выполнения этой роли.
Операторы отправляют команды в виде отдельных, но схожих по структуре исполняемых файлов, что предполагает наличие автоматизированного фреймворка. Автоматизированный модуль сбора электронной почты внедряется в легитимные процессы Microsoft Exchange, позволяя злоумышленникам получать доступ к конвейеру обработки электронной почты и манипулировать им, объяснили исследователи.
«Это требует глубокого понимания внутренних механизмов работы Microsoft Exchange и является новой техникой», — написали они.
Они описали типичную цепочку атак следующим образом: чиновник в национальном правительственном учреждении отправляет электронное письмо коллеге из транснационального военного альянса. Сообщение отправляется через сервер Microsoft Exchange, как и положено; ничего подозрительного. Но прежде чем письмо будет отправлено, фрагмент кода незаметно проверяет его, определяет, представляет ли оно интерес, и если да, то делает копию для пересылки «любопытным глазам». Оригинальное письмо продолжает свой путь как обычно.
Набор инструментов продемонстрировал, что серверы Exchange — это не просто почтовые серверы, а «надежные точки сбора», внутренние центры выполнения и подходящая среда для скрытия сложных .NET-техник, отметили исследователи. Конвейер обработки отражает уровень инвестиций в этот тип техники, который «необычен даже среди изощренных APT-акторов [advanced persistent threat]», — сказали они.
Исследователи обнаружили, что вредоносное ПО до сих пор использовалось для атак на Казахстан и Румынию. ESET относит этот набор инструментов к связанной с Россией APT-группе Turla.
Злоумышленники приложили значительные усилия для сохранения незаметности
Эксперты согласились, что одними из наиболее примечательных аспектов Cereal являются отсутствие канала C2 и усилия, предпринятые злоумышленниками для сохранения скрытности.
«ESET не обнаружила ни одного сервера, контролируемого злоумышленниками. Ни одного», — отметил Диксон. Собственный сервер Exchange жертвы является командным центром, а бэкдор ожидает зашифрованные запросы по веб-путям, которые выглядят как обычный трафик Outlook Web Access, Autodiscover и ActiveSync.
«Cereal никогда не звонит домой. Он и есть дом», — сказал он.
Это опасно, потому что большинство сетевых средств защиты отслеживают исходящий трафик на подозрительные адреса. Но здесь нет адреса, который можно было бы заблокировать, и нет сервера, который можно было бы отключить. «Злоумышленники входят через парадную дверь, одетые как Outlook», — отметил он.
Затем следует перехват почты: легитимные транспортные агенты в Exchange позволяют программному обеспечению проверять почту по мере ее обработки. Но Cereal внедряется в процесс обработки почты Exchange и оборачивает уже работающие в памяти агенты.
Почта продолжает поступать, но ничего нового не появляется. «Это почтальон, который вскрывает конверт, копирует письмо и запечатывает его обратно перед доставкой», — сказал Диксон.
Компонент под названием CerealBox выбирает сообщения с вложениями .doc, .docx и .pdf от выбранных отправителей, получателей и по определенным темам. В Румынии ESET обнаружила, что он собирал почту, связанную с адресами Организации Североатлантического договора (НАТО) и ЕС. Это должно вызывать беспокойство у предприятий, сказал Диксон; замените на свои предпочтительные цели: внешних юристов, вашу целевую компанию для приобретения или вашего регулятора, чтобы получить контракт, меморандум о сделке или юридическую стратегию.
Кроме того, задокументированные ESET команды включают извлечение целых почтовых ящиков, получение учетных данных, хранящихся на сервере, и запрос Active Directory для получения информации о пользователях, группах и компьютерах. Сервер Exchange находится глубоко внутри системы управления идентификацией. Это ахиллесова пята, поскольку он доступен из Интернета, обладает высокими привилегиями и сложен. «Завладейте им, и вы получите ключи от королевства, если хотите», — сказал Диксон.
Его совет: по возможности мигрируйте или выведите из эксплуатации локальные серверы Exchange. Относитесь ко всему, что остается, как к активам нулевого уровня, «охраняемым как контроллер домена». Ограничьте доступ к Outlook Web Access и ActiveSync из Интернета до того, что действительно необходимо бизнесу. Используйте индикаторы, описанные ESET, для поиска угроз. Следите за неожиданной загрузкой кода в процесс обработки Exchange.
Но хотя работа исследователей превосходна, поскольку она подробно описывает, что Turla делала, оказавшись внутри организации, она не говорит, как Turla попала на эти серверы, отметил Диксон. Уязвимость не названа, и не описаны украденные учетные данные или фишинговое письмо.
«Впечатляет вор, который не оставляет отпечатков пальцев», — сказал Диксон. «Вор, способ проникновения которого остается неизвестным, — это проблема для каждого дома на улице».
«На уровень выше»
И, как отметил Дэвид Шипли, генеральный директор Beauceron Security, за последние несколько лет мы наблюдали сокращение разрыва в уровне изощренности между государственными хакерами и преступниками, особенно благодаря ИИ, но «затем вы видите нечто подобное, что все еще на уровень выше».
Работа локальных серверов Exchange становится все более рискованной на протяжении многих лет, отметил он. Для правительственных учреждений, ИИ-компаний, финансовых организаций и других высокоценных целей риск размещения локально вместо использования облачных версий продолжает расти.
Однако стоит отметить, что даже если Microsoft будет размещать Exchange, это не означает, что вы будете в безопасности от государственных акторов, сказал Шипли. «Это просто повышает планку». Еще одна ключевая проблема с серверами Exchange заключается в том, что Microsoft сама рекомендует не запускать антивирусные сканеры в определенных местах, таких как ExchangeTransport.exe, поскольку это может привести к нестабильности.
«Они фактически указали преступникам, где прятаться, и объяснили, почему там хорошо прятаться», — отметил он. «Не то чтобы они могли что-то с этим поделать, но это указывает на огромную дилемму».
Еще одна дилемма: с публикацией этого отчета и появлением новых идей, которые, несомненно, последуют за ним, «мы, вероятно, увидим, как преступные группы в будущем рассмотрят ценность такого рода техник», — отметил Шипли.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
