Storm-2561 и поддельные VPN-установщики: атака SEO

Введение

Microsoft Threat Intelligence подробно описала новую кампанию Storm-2561, которая должна попасть в поле зрения каждой команды безопасности. Используя манипуляции с рейтингами поисковых систем, поддельные сайты с брендингом поставщиков и даже действительные сертификаты подписи кода, злоумышленники нацеливаются на пользователей, ищущих доверенное корпоративное VPN-программное обеспечение, и крадут учетные данные еще до того, как многие организации понимают, что что-то пошло не так.

Что нового

Storm-2561 распространяет троянизированные установщики VPN через убедительную цепочку атаки:

• Пользователи ищут легитимное VPN-программное обеспечение, например клиенты Pulse Secure или Fortinet.
• В результатах поиска появляются вредоносные сайты с SEO poisoning, имитирующие доверенные страницы загрузки поставщиков.
• Жертвы перенаправляются к ZIP-файлам, размещенным в GitHub-репозиториях, контролируемых злоумышленниками.
• ZIP-архив содержит вредоносный MSI-установщик и DLL, имитирующие реальное развертывание VPN.
• Установщик помещает Pulse.exe и выполняет side-loading вредоносных DLL, включая dwmapi.dll и inspector.dll.
• inspector.dll идентифицирован как вариант инфостилера Hyrax, который извлекает учетные данные VPN и данные конфигурации.

Microsoft также отметила, что вредоносное ПО было подписано легитимным сертификатом от “Taiyuan Lihua Near Information Technology Co., Ltd.”. С тех пор этот сертификат был отозван, однако использование действительной подписи снизило подозрения у пользователей и, возможно, помогло обойти некоторые средства защиты.

Особенности атаки, о которых нужно знать

Поддельный VPN-клиент показывает реалистичный интерфейс входа, чтобы напрямую получить учетные данные от пользователя. После их ввода:

• Отображается сообщение о поддельной установке или ошибке входа
• Пользователю предлагается загрузить настоящий VPN-клиент
• В некоторых случаях браузер открывает легитимный сайт поставщика

Такое перенаправление после компрометации особенно эффективно, потому что пользователи позже могут успешно установить настоящее ПО и так и не заподозрить, что их учетные данные уже были украдены.

Кампания также закрепляется в системе через раздел реестра Windows RunOnce и выводит украденные данные в инфраструктуру, контролируемую злоумышленниками.

Влияние на IT-администраторов

Для IT- и security-команд эта кампания подчеркивает растущий риск: пользователям больше не нужно открывать вложения в phishing email, чтобы быть скомпрометированными. Простого поиска бизнес-программного обеспечения уже может быть достаточно, чтобы привести к краже учетных данных.

Организациям, зависящим от удаленного доступа, следует проявить особую обеспокоенность, поскольку украденные учетные данные VPN могут обеспечить несанкционированный доступ, lateral movement и последующие атаки. Использование поддельного брендинга ПО и подписанного вредоносного ПО также повышает вероятность того, что конечные пользователи доверятся установщику.

Рекомендуемые действия

Администраторам следует предпринять следующие шаги:

• Убедиться, что в Microsoft Defender Antivirus включена облачная защита cloud-delivered protection
• Использовать EDR в режиме block mode там, где это поддерживается
• Искать подозрительные установщики, связанные с VPN, side-loading DLL и закрепление через RunOnce
• Проверять исходящие подключения к известным индикаторам и подозрительным загрузкам, размещенным на GitHub
• Обучать пользователей загружать VPN-программное обеспечение только из утвержденных корпоративных порталов или источников, подтвержденных поставщиком
• Сбрасывать учетные данные и расследовать состояние устройств, если пользователи сообщают о неудачной установке VPN с последующей успешной переустановкой

Это еще одно серьезное напоминание о том, что результаты поиска могут быть частью поверхности атаки, а одних только сигналов доверия к ПО уже недостаточно.