GOFFEE навынос: F6 исследовала новые техники шпионской группировки

Специалисты Лаборатории цифровой криминалистики и исследования вредоносного кода компании F6, российского разработчика технологий для борьбы с киберугрозами, представили исследование атак, техник и инструментов APT-группировки GOFFEE. Криминалисты F6 исследовали атаку кибершпионов на одну из российских компаний. В ходе реагирования на инцидент выяснилось, что атакующие уже давно контролируют множество устройств в сети компании. В частности, для захвата устройств злоумышленники подменили в корпоративных хранилищах разрешённого ПО легитимные программы 7-Zip и Git, а также установочные ISO-образы Windows-систем на вредоносные модификации.

Who is GOFFEE

Группировка GOFFEE, известная также как Paper Werewolf, специализируется на проведении целевых атак на российские организации с целью шпионажа.

Активность GOFFEE отслеживается с 2022 года. Атакуют госучреждения, компании и организации в сферах ВПК, ИТ, логистики, СМИ, телекоммуникаций, строительства, энергетики, образования, промышленности, туризма, финансов. Среди особенностей группировки — фокус на долгосрочном присутствии в инфраструктуре жертв, для чего атакующие используют техники, которые обеспечивают длительный и скрытый доступ к скомпрометированным системам.

Для получения первоначального доступа GOFFEE активно применяют методы социальной инженерии. В качестве вредоносных вложений используют архивы с документами-приманками.

В своих атаках GOFFEE пользуются инструментами собственной разработки, часть из которых основана на публичных проектах. Злоумышленники активно применяют техники обфускации, усложняющие обнаружение и криминалистический анализ. При обнаружении противодействия и удалении бэкдоров GOFFEE загружают новые, которые не детектируются прежними методами.

Для закрепления злоумышленники создают системные службы и модифицируют различные параметры реестра. При этом перемещение по сети осуществляется как встроенными средствами операционных систем, так и сторонними утилитами, позволяющими удаленно выполнять команды.

Для сокрытия своих инструментов участники GOFFEE активно используют различные техники маскировки и умело комбинируют их. Большинство служб, обеспечивающих запуск бэкдоров, мимикрируют под легитимные аналоги с других систем (модули прикладного ПО, драйверы). А у самих файлов атакующие подменяют временные метки, опираясь на свойства других файлов в системе.

Windows Spy Edition

Исследователи F6 отмечают, что в исследованной атаке GOFFEE применили нераспространённую технику — подменили легитимные программы 7-Zip и Git на закрытом корпоративном хранилище разрешённого ПО и заменили установочные ISO-образы Windows-систем в хранилищах ИТ-департамента на вредоносные модификации.

Выбор утилит для подмены предполагает компрометацию как широкого круга пользователей (7-Zip), так и команды разработчиков и ИТ-департамента (Git). Модифицированные файлы в полном объеме сохраняли функциональность оригинального ПО и не вызывали подозрений. При таком способе распространения сотрудник самостоятельно загружает и запускает вредоносные файлы. А факт загрузки их из закрытого корпоративного источника сильно повышает к ним доверие.

Даже получив уведомление антивируса, пользователь может принудительно разрешить установку подозрительного файла. На внутренних хранилищах нередко встречаются исполняемые файлы с именами *keygen*, *crack*, и многие пользователи уже привыкли добавлять их в исключения, что только помогает злоумышленникам.

Модификация установочных образов Windows позволяет распространять вредоносное ПО при переустановке системы или введении в эксплуатацию нового устройства. Бэкдор начинает функционировать еще до первого входа пользователя и тем более до установки им антивирусных решений и других защитных систем.

Злоумышленники модифицировали три версии установочных образов разных версий Windows. Как и при подмене ПО, атакующие могли выбирать жертв, но не пользователей, а тип устройств: серверы или рабочие станции. Так злоумышленники могли сразу получить удаленный доступ к только что развернутому контроллеру домена или серверу резервных копий.

Растворимый GOFFEE

Как указывают криминалисты F6, участники GOFFEE отличились использованием разнообразных версий бэкдоров и способами их доставки на устройства. В хронологии инцидента четко прослеживается переход к более сложным для обнаружения техникам по мере изучения инфраструктуры. Наиболее удачные становились массовыми и применялись атакующими на постоянной основе.

На начальных этапах атаки злоумышленники прибегали к популярным сервисам временного хранения файлов (GoFile, DropMeFiles, BashUpload) для размещения своего инструментария и доставки на скомпрометированные рабочие станции и серверы. Позднее участники GOFFEE стали загружать вредоносное ПО с собственных ресурсов.

Впоследствии устройства локальной сети также использовались в качестве C2 при конфигурации бэкдоров. Такой подход позволял атакующим избегать обнаружения за счет сокращения количества систем, взаимодействующих с внешними командными серверами напрямую, и мимикрии под легитимный трафик в локальной сети.

Наибольшее разнообразие техник атакующие показали, закрепляясь на скомпрометированных системах. Здесь также прослеживается эволюция сложности используемых подходов. Например, в начале атаки злоумышленники использовали мимикрирующие под компоненты ОС, но все же бросающиеся в глаза криминалисту системные службы.

Еще одной отличительной чертой группировки стало внимание к деталям и готовность осуществлять постоянный контроль как за работой собственных инструментов, так и за действиями сотрудников ИТ- и ИБ-подразделений.

Компрометируя рабочие станции сотрудников, злоумышленники проверяли, установлен ли мессенджер Telegram, и похищали его служебный каталог. Это позволяло получить доступ к личной переписке и корпоративным чатам ИТ-специалистов. В результате GOFFEE были хорошо осведомлены о реализованных и планируемых действиях по настройке инфраструктуры и мерам дополнительной защиты.

Благодаря разнообразию способов получения и источников аутентификационных данных злоумышленники на протяжении всей атаки обладали актуальными учетными данными широкого круга пользователей. Этого было достаточно для привилегированного доступа к различным устройствам локальной сети, сервисам удаленного доступа и иным корпоративным ресурсам.

Во многом внимательность к действиям пользователей позволила атакующим долго сохранять скрытый доступ к системам, так как большинство их действий маскировались или полностью повторяли легитимное поведение других систем.

«Каждый раз, когда мы обнаруживали очередной бэкдор, противник оперативно менял подходы в разработке и маскировке. Кроме того, злоумышленники активно уничтожали следы присутствия — на многих рабочих станциях к моменту анализа просто не оставалось криминалистически значимых данных», — говорят специалисты Лаборатории цифровой криминалистики и исследования вредоносного кода компании F6.

Подробности исследования, анализ ВПО, индикаторы компрометации — в блоге на сайте F6.