Storm-2561: fałszywe instalatory VPN i SEO poisoning

Wprowadzenie

Microsoft Threat Intelligence opisał nową kampanię Storm-2561, która powinna znaleźć się na radarze każdego zespołu bezpieczeństwa. Poprzez nadużywanie pozycji w wynikach wyszukiwania, fałszywych stron oznaczonych markami dostawców, a nawet ważnych certyfikatów podpisywania kodu, atakujący celują w użytkowników szukających zaufanego korporacyjnego oprogramowania VPN i kradną poświadczenia, zanim wiele organizacji zorientuje się, że coś poszło nie tak.

Co nowego

Storm-2561 rozprowadza strojaniezowane instalatory VPN poprzez przekonujący łańcuch ataku:

• Użytkownicy wyszukują legalne oprogramowanie VPN, takie jak klienci Pulse Secure lub Fortinet.
• Złośliwe strony wykorzystujące SEO poisoning pojawiają się w wynikach wyszukiwania i imitują zaufane strony pobierania dostawców.
• Ofiary są przekierowywane do plików ZIP hostowanych w kontrolowanych przez atakujących repozytoriach GitHub.
• ZIP zawiera złośliwy instalator MSI i biblioteki DLL imitujące prawdziwe wdrożenie VPN.
• Instalator umieszcza Pulse.exe i side-loaduje złośliwe biblioteki DLL, w tym dwmapi.dll i inspector.dll.
• inspector.dll został zidentyfikowany jako wariant infostealera Hyrax, który wyodrębnia poświadczenia VPN i dane konfiguracyjne.

Microsoft zauważył również, że malware było podpisane legalnym certyfikatem firmy „Taiyuan Lihua Near Information Technology Co., Ltd.”. Certyfikat został od tego czasu unieważniony, ale użycie ważnego podpisu zmniejszało podejrzenia użytkowników i mogło pomóc w ominięciu części mechanizmów obronnych.

Zachowanie ataku, które warto znać

Fałszywy klient VPN prezentuje realistyczny interfejs logowania, aby bezpośrednio przechwycić poświadczenia od użytkownika. Po ich wprowadzeniu:

• Wyświetlany jest komunikat o fałszywej awarii instalacji lub logowania
• Użytkownik otrzymuje monit o pobranie prawdziwego klienta VPN
• W niektórych przypadkach przeglądarka otwiera legalną stronę dostawcy

To przekierowanie po kompromitacji jest szczególnie skuteczne, ponieważ użytkownicy mogą później pomyślnie zainstalować prawdziwe oprogramowanie i nigdy nie podejrzewać, że ich poświadczenia zostały już skradzione.

Kampania ustanawia również trwałość poprzez klucz rejestru Windows RunOnce i eksfiltruje skradzione dane do infrastruktury kontrolowanej przez atakujących.

Wpływ na administratorów IT

Dla zespołów IT i bezpieczeństwa ta kampania podkreśla rosnące ryzyko: użytkownicy nie muszą już otwierać załączników phishingowych w e-mailach, aby dojść do kompromitacji. Samo wyszukiwanie oprogramowania biznesowego może prowadzić do kradzieży poświadczeń.

Szczególnie zaniepokojone powinny być organizacje zależne od zdalnego dostępu, ponieważ skradzione poświadczenia VPN mogą umożliwić nieautoryzowany dostęp, ruch boczny i kolejne ataki. Wykorzystanie podszywającego się brandingu oprogramowania i podpisanego malware dodatkowo zwiększa szansę, że użytkownicy końcowi zaufają instalatorowi.

Zalecane działania

Administratorzy powinni podjąć następujące kroki:

• Upewnić się, że ochrona dostarczana z chmury w Microsoft Defender Antivirus jest włączona
• Uruchomić EDR w trybie blokowania tam, gdzie jest to obsługiwane
• Poszukiwać podejrzanych instalatorów związanych z VPN, side-loadingu DLL oraz trwałości przez RunOnce
• Przeanalizować połączenia wychodzące do znanych wskaźników i podejrzanych plików pobieranych z GitHub
• Edukować użytkowników, aby pobierali oprogramowanie VPN wyłącznie z zatwierdzonych portali firmowych lub źródeł zweryfikowanych przez dostawcę
• Resetować poświadczenia i badać urządzenia, jeśli użytkownicy zgłaszają nieudane instalacje VPN, po których nastąpiła udana ponowna instalacja

To mocne przypomnienie, że wyniki wyszukiwania mogą być częścią powierzchni ataku, a same sygnały zaufania do oprogramowania nie są już wystarczające.