Swallowtail шпионила за организациями двух стран НАТО

Swallowtail, также известная как APT28, Fancy Bear и Forest Blizzard, проводила кибершпионские операции против организаций в двух государствах-членах НАТО. Среди целей были правоохранительный орган, производитель авиационных двигателей и верфь. Их профиль указывает на усилия по сбору разведывательной информации в сферах государственного управления, обороны и национальной безопасности. Группа использовала бэкдор Hookedge, доставляемый через документы Word с макросами.

Заражение через документ и сбор данных

При вторжении на верфь вредоносный документ открыли из кэша вложений Outlook. Обфусцированный макрос VBA развернул загрузчик VBScript, файлы HTML/XHTML и пакетный скрипт. Тот запустил почти незаметный процесс Microsoft Edge со встроенной JavaScript-нагрузкой. Браузер использовался для получения файлов и задач с webhook.site.

Hookedge собирал сведения о системе, в том числе:

• данные о прокси и WPAD;
• активные сеансы;
• конфигурацию IP;
• системную информацию;
• список запущенных процессов;
• содержимое каталогов;
• результаты проверки соединения с несколькими внешними сервисами.

Позднее операторы переместили компонент Hookedge второго этапа на выделенный IP-адрес под контролем злоумышленников. Задачи выполнялись за считаные секунды, что указывало на интерактивную активность с ручным управлением.

Обнаружение сети и кража учётных данных

Злоумышленники искали внутренние хосты с помощью DNS- и ping-запросов. Среди адресатов были системы, которые, по всей видимости, включали почтовый сервер.

Учётные данные похищали двумя способами. Сначала злоумышленники разместили закрытый ключ SSH на скомпрометированном хосте и использовали клиент Windows OpenSSH для подключения к своему серверу через порт 80. Соединение создало постоянный фоновый туннель для удалённого перенаправления портов, через который из инфраструктуры злоумышленников можно было получить доступ во внутреннюю сеть жертвы. Для подключения злоумышленники отключили проверку ключей хоста и включили устаревшие алгоритмы RSA.

Затем злоумышленники запустили скрипт PowerShell, который создал локальный прослушиватель и принудительно вызвал аутентификацию хоста через трафик, похожий на SMB. Скрипт перехватывал пары «запрос-ответ» NTLMv2. Их можно было использовать для офлайн-взлома пароля или атак ретрансляции.

Загрузка полезной нагрузки и длительность вторжения

Позднее операторы развернули ld.exe и Events.dat. Ранее не описанный загрузчик ld.exe расшифровывал зашифрованную полезную нагрузку и выполнял её в памяти. Для запуска полезной нагрузки требовался ключ, передаваемый во время выполнения, поэтому самостоятельно она запуститься не могла.

Вторжение продолжалось не менее двух месяцев, с многократным доступом и непрерывной активностью управления.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.