NightEagle нацелилась на российские организации через Exchange и туннели

Группа NightEagle, также известная как APT-Q-95, после атак на организации в Азии нацелилась на российские организации. Группа активна как минимум с 2023 года. Для первоначального доступа злоумышленники обычно использовали скомпрометированные легитимные учётные данные для подключения к корпоративным VPN и разворачивали бэкдор GhostContainer на серверах Microsoft Exchange на этапе первоначального доступа и в ходе последующих операций.

Доступ к Exchange и возможности GhostContainer

Соединения инициировались с российских IP-адресов, связанных с туннелями Cloudflare WARP, а также с виртуальной инфраструктуры европейских провайдеров. GhostContainer представляет собой сборку .NET, включающую код или функциональность из общедоступных проектов:

• инструмента туннелирования Neo-reGeorg;
• эксплойта для Exchange CVE-2020-0688;
• класса GhostWebShell из ysoserial.

Предположительно, доставка бэкдора включала извлечение криптографических ключей Microsoft Exchange из конфигурационных файлов ASP.NET, изменение параметра VIEWSTATE и внедрение полезной нагрузки, которая выполняла GhostContainer в оперативной памяти.

GhostContainer обрабатывает инструкции управления через специально сформированные HTTP-заголовки, включая x-owa-urlpostdata. Бэкдор пытается обходить мониторинг AMSI и журнала событий Windows, перезаписывая адреса в amsi.dll и ntdll.dll. Другие компоненты GhostContainer создают виртуальные пути, перенаправляют сетевой трафик и обеспечивают пересылку сокетов.

Туннелирование и перемещение внутри сети

Для закрепления и внутреннего доступа NightEagle использовал Microsoft dev tunnels, чтобы сделать RDP доступным через порт 3389, а также комбинировал их с утилитой с открытым исходным кодом rdp2tcp для туннелирования TCP-трафика через RDP. Атакующие применяли atexec из Impacket для создания запланированных задач, обеспечивающих перенаправление портов через стандартные функции Windows. Эти методы обеспечивали доступ через легитимные сервисы без открытия дополнительных подозрительных портов.

Во время перемещения внутри компании группа эксплуатировала уязвимости Active Directory и использовала созданные туннели для доступа к внутренним системам. В одном из инцидентов злоумышленники эксплуатировали уязвимость BlueKeep, CVE-2019-0708, чтобы создать локальную учётную запись и добавить её в группы Administrators и Remote Desktop Users.

Атакующие также запрашивали билеты Kerberos со следующими флагами:

• Forwardable;
• Proxiable;
• Renewable.

Кроме того, они предпринимали попытки выполнить операции DCSync для репликации данных паролей домена. Эти действия позволили украсть хеши учётных данных, использовать билеты с длительным временем жизни, имперсонировать контроллер домена и обеспечить более широкую компрометацию среды Active Directory жертвы.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.