В атаках DragonForce применяют бэкдоры через ретрансляторы Teams

DragonForce, финансово мотивированная операция по модели «программа-вымогатель как услуга», появилась в 2023 году, а позднее перешла к модели картеля. Аффилиаты получают шифровальщики для Windows, Linux, ESXi, BSD и NAS, инфраструктуру для их сборки, сайт для публикации украденных данных и поддержку в переговорах. В атаках применяют двойное вымогательство: сначала выгружают данные, затем шифруют системы и угрожают опубликовать похищенное. Аффилиаты могут действовать под разными именами, поэтому за незнакомыми брендами программ-вымогателей могут стоять инструменты DragonForce.

Бэкдоры для сохранения доступа

В недавних вторжениях использовали кастомные бэкдоры, предназначенные для сохранения доступа после шифрования. Backdoor.Turn, имплант на Go, внедряется в легитимный процесс DbgView64.exe. Он получает анонимный токен посетителя Microsoft Teams и направляет управляющий трафик через инфраструктуру ретрансляторов Microsoft TURN. Затем имплант устанавливает сессию QUIC с сервером под контролем злоумышленников.

Backdoor.Turn поддерживает выполнение команд, создание процессов, сетевую разведку, поиск в LDAP и Active Directory, горизонтальное перемещение с украденными учётными данными и кражу учётных данных из браузера.

Второй бэкдор использует запланированную задачу для запуска javaw.exe. Процесс загружает вредоносную библиотеку jli.dll и расшифровывает полезную нагрузку, защищённую DPAPI. Бэкдор взаимодействует через ретрансляторы Teams TURN, а при сбое переключается на MQTT. Задачи он получает в памяти, в зашифрованном алгоритмом XOR виде. Среди его возможностей также выполнение PowerShell, подключение к удалённым хостам, переход в спящий режим на пять минут после сбоев и шифрование собственной памяти в состоянии простоя.

Доступ и действия после компрометации

Первоначальный доступ получали разными способами:

• с помощью фишинга;
• эксплуатируя уязвимости, доступные из интернета;
• используя украденные учётные данные и подставляя их для входа через RDP;
• используя слабые места в VPN;
• вероятно, через посреднический доступ с использованием SQL Server.

После компрометации злоумышленники применяли Cobalt Strike, Mimikatz, ADExplore, PingCastle, Netscan и SystemBC. Они также подменяли компоненты через VirtualBox или DbgView, создавали учётные записи, меняли настройки файрвола и включали удалённый доступ для учётных записей с пустым паролем.

Для отключения средств защиты злоумышленники эксплуатировали уязвимые подписанные драйверы и использовали собственные. Данные выгружали через MEGA, WebDAV и SFTP, удаляли теневые копии томов, сканировали сети SMB и шифровали файлы с помощью AES или ChaCha8. Ключи шифрования защищали RSA.

Обнаружение и рекомендации

Авторы отчёта рекомендуют обращать внимание на процессы, не связанные с Teams, но устанавливающие соединения с инфраструктурой ретрансляции Teams, в частности на DbgView64.exe и javaw.exe. В числе других признаков для обнаружения:

• непредвиденный трафик MQTT;
• подозрительная подмена DLL (DLL side-loading);
• запланированные задачи, запускающие Java из каталогов с правом записи;
• загрузка вредоносных или необычных драйверов;
• запуск оболочек или PowerShell из SQL Server;
• доступ к NTDS.dit;
• удаление теневых копий;
• массовое сканирование SMB;
• передача данных до шифрования.

Авторы отчёта также рекомендуют:

• устранить доступность SQL Server и RDP из интернета;
• внедрить многофакторную аутентификацию (MFA);
• включить защиту от уязвимых драйверов;
• поддерживать офлайн- или неизменяемые резервные копии;
• рассматривать восстановление после шифрования как продолжающееся вторжение.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.