Sofacy атаковала госорганизации документами с удалёнными шаблонами
В конце октября и начале ноября 2018 года группировка Sofacy атаковала государственные организации в Северной Америке, Европе и бывшем советском государстве. Для целевого фишинга использовались документы, загружавшие вредоносные шаблоны с внешних серверов.
При открытии документа Microsoft Word загружал шаблон с макросом по ссылке из файла settings.xml.rels. Если внешний сервер не отвечал, документ выглядел в значительной степени безвредным, а макрос не загружался. Это снижало вероятность обнаружения при автоматизированном анализе. Макрос использовал функцию AutoClose и запускался при закрытии документа. Такой механизм мог обходить песочницы, которые не завершали работу Word штатным образом. В одном из документов приманкой служило сообщение об аварии Boeing 737 авиакомпании Lion Air.
В одной из кампаний основной полезной нагрузкой был упакованный с помощью UPX вариант Zebrocy на Delphi. Он собирал сведения об узле, выполняя команды SYSTEMINFO и TASKLIST, перечислял подключённые устройства хранения данных и делал снимок экрана в формате JPEG. Данные отправлялись на HTTP-сервер C2 с помощью POST-запросов. Сервер возвращал вторичную полезную нагрузку в виде шестнадцатеричных значений ASCII. Zebrocy декодировала её и записывала на диск. Вторичная полезная нагрузка также была написана на Delphi и обменивалась данными по HTTPS.
Второй документ устанавливал Cannon, ранее не описанный загрузчик на C#. Для связи он использовал зашифрованные протоколы электронной почты вместо традиционных каналов C2 на основе HTTP: отправлял сообщения через SMTPS по TCP-порту 587, а команды и полезную нагрузку получал через POP3S. Системную информацию и снимки экрана Cannon отправлял как вложения к письмам. Для каждой жертвы использовался уникальный 16-символьный идентификатор, полученный из серийного номера тома C: и части имени пользователя.
Cannon взаимодействовал с учётными записями, контролируемыми оператором, используя заранее заданные темы сообщений, маркеры в тексте письма и шестнадцатерично закодированные данные. Для закрепления он создавал и запускал файл r.bat, который менял значение Winlogon Shell в реестре пользователя, чтобы запускать wsslc.exe.
После разведки операторы могли предоставить учётные данные для дополнительной учётной записи электронной почты, доставить вложение auddevc.txt и указать целевой путь в закодированных сообщениях. Cannon перемещал загруженный файл и запускал его, отправлял подтверждения статуса после каждого этапа и удалял собранные файлы перед завершением работы.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
