APT MuddyWater: многоступенчатый фишинг против финансовых директоров

Кратко: расследование выявило масштабную кампанию APT MuddyWater, ориентированную на финансовых директоров и руководителей финансовых отделов в Европе, Северной Америке и Азии. Злоумышленники используют целевой фишинг с размещением страниц на Firebase, многослойные загрузчики в формате VBS и внедряют средство удаленного доступа NetBird с набором механизмов закрепления и скрытности.

Как начинается атака

Кампания стартует с продуманной социальной инженерии: злоумышленники рассылают целевые фишинговые письма, которые перенаправляют жертву на фишинг-страницы, размещённые в проектах Firebase/Web App. Эти страницы маскируются под легитимные ресурсы и используют CAPTCHA для повышения видимости легитимности и склонения пользователей к вводу конфиденциальных данных.

Доставка и установка вредоносной нагрузки

• Первичный доступ осуществляется через ZIP-архивы с загрузчиками на VBS.
• После запуска скрипта VBS инициируется установка NetBird, используемого злоумышленниками как средство удалённого доступа и для поддержания постоянного присутствия.
• VBS-скрипт выполняет не только запуск команд, но и мероприятия по сокрытию следов: например, удаляет ярлыки установки NetBird с рабочих столов пользователей.

Механизмы закрепления и сокрытия

Для устойчивого присутствия и обхода обнаружения вредоносное ПО применяет несколько техник:

• создание скрытых локальных учётных записей с правами администратора;
• включение RDP (Remote Desktop Protocol) для обеспечения альтернативных каналов доступа;
• создание запланированных задач, автоматически перезапускающих службу NetBird после загрузки системы.

Инфраструктура и эволюция кампании

Расследование зафиксировало адаптивность злоумышленников: инфраструктура перемещалась с IP 192.3.95.152 на 198.46.178.135 в ответ на сетевые контрмеры. Также обнаружено несколько путей размещения в рамках одних и тех же проектов Firebase/Web App, что указывает на организованную стратегию распространения фишинговых наборов по разным доменам.

«Эволюция инфраструктуры подтверждает принадлежность к APT MuddyWater.»

Атрибуция поддерживается совпадением инфраструктурных индикаторов и TTP (тактика, методы и процедуры) с ранее задокументированными операциями группы: идентичные названия служб, схожие конфигурации и пересечение показателей деятельности.

Технические особенности вредоносной полезной нагрузки

• VBS-загрузчики выполняют вредоносные команды и одновременно предпринимают меры по скрытию активности (удаление ярлыков и прочих видимых следов).
• NetBird используется как легитимно выглядящее ПО для удалённого доступа, что усложняет детекцию на уровне безопасности конечных точек.

Рекомендации по защите и смягчению рисков

Организациям рекомендуется реализовать комплекс мер для снижения вероятности успешных атак такого рода:

• блокировать на сетевом уровне и на уровнях конечных точек IP-адреса и домены, связанные с кампанией (включая 192.3.95.152 и 198.46.178.135);
• проверять и контролировать использование легитимного ПО для удалённого доступа (например, NetBird, AteraAgent) на предмет несанкционированной установки и конфигураций;
• внедрять списки разрешённых приложений (application allowlisting) и механизмы контроля приложений на конечных точках;
• усилить детекцию фишинга: контент-фильтры, моделирование атак, обучение целевых сотрудников (CFO, руководители финансовых отделов);
• ввести усовершенствованные правила обнаружения, отслеживающие выполнение скриптов VBS, создание подозрительных локальных учётных записей и включение RDP;
• проверять и ограничивать создание запланированных задач и автоматических служб, особенно связанных с неизвестными или внешними компонентами.

Вывод

Расследование подчёркивает системный и устойчивый характер операций APT MuddyWater. Группа демонстрирует продуманную, многоступенчатую тактику — от целевого фишинга через Firebase и использование CAPTCHA до внедрения через VBS и закрепления с помощью NetBird. Целями становятся ценные объекты финансового сектора, а масштаб и адаптивность инфраструктуры требуют от организаций проактивных мер защиты и постоянного мониторинга.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.