Сложные кибератаки нацелены на организации, особенно в российском ИТ-секторе, со второй половины 2024 года. Злоумышленники используют передовые методы уклонения, задействуя популярные онлайн-платформы, такие как GitHub, Quora и социальные сети, для доставки своей вредоносной нагрузки, в конечном итоге развертывая Cobalt Strike Beacon.
Скрытное проникновение
Кампания, наиболее активная в период с ноября 2024 года по апрель 2025 года, началась с очень убедительных фишинговых писем. Эти письма имитировали сообщения от крупных государственных компаний, часто из нефтегазовой отрасли, чтобы обманом заставить получателей открыть вредоносные вложения. Эти вложения обычно представляли собой RAR-архивы, содержащие обманчивую структуру: вредоносный файл .lnk, поддельные PDF-документы и скрытый каталог с исполняемыми файлами, замаскированными под PDF.
Пример целевого фишингового письма
После выполнения файла .lnk вредоносное ПО копировало и переименовывало эти файлы в среде пользователя, подготавливая почву для дальнейшей компрометации. Ключевым приемом, использованным злоумышленниками, был перехват DLL (DLL hijacking), эксплуатирующий легитимную утилиту BugSplat для отчетов о сбоях (BsSndRpt.exe). Злоумышленники переименовали эту утилиту и связали ее с вредоносной DLL, заставляя утилиту загружать вредоносный код вместо ее подлинного аналога.
Схема выполнения ярлыка «Требования.lnk»
Схема работы процесса nau.exe
Использование легитимных платформ в злонамеренных целях
Для дальнейшего уклонения от обнаружения вредоносная DLL использовала динамическое разрешение API и XOR-зашифрованные хеши, что затрудняло статический анализ. Она также перехватывала функции Windows API, перенаправляя вызовы на пользовательские функции внутри вредоносной библиотеки. Затем эти функции извлекали шелл-код из веб-источников, в частности, встраивая информацию о командном управлении (C2) и URL-адреса полезной нагрузки в HTML-контент, найденный в профилях пользователей на таких платформах, как Microsoft Tech Community, Quora, GitHub и российские социальные сети.
Вредоносные профили на различных популярных ресурсах
Этот метод сокрытия вредоносных данных в легитимном пользовательском контенте позволил злоумышленникам создать сложную и устойчивую цепочку выполнения. Шелл-код, представляющий собой рефлексивный загрузчик, был разработан для внедрения Cobalt Strike Beacon непосредственно в память процесса, устанавливая связь с C2-серверами. Хотя выявленные учетные записи были специально созданы для атаки, эти методы могли быть легко адаптированы для компрометации легитимных пользовательских сообщений или комментариев.
Ключевые выводы
-
Злоумышленники все чаще используют сложные методы для сокрытия хорошо известных инструментов, таких как Cobalt Strike.
-
Легитимные онлайн-платформы используются для размещения инфраструктуры командного управления и доставки вредоносных нагрузок.
-
Перехват DLL и динамическое разрешение API являются распространенными методами уклонения.
-
Целевые фишинговые письма остаются основным вектором первоначального доступа.
Кампания, хотя и была в основном нацелена на российские ИТ-компании, также наблюдалась в Китае, Японии, Малайзии и Перу. Организациям рекомендуется поддерживать бдительный мониторинг, улучшать обучение сотрудников по вопросам кибербезопасности и развертывать надежные решения безопасности для обнаружения и блокирования таких продвинутых угроз. Индикаторы компрометации включают наличие неподписанных файлов BugSplatRc64.dll или появление утилиты BugSplat с нестандартными именами файлов.
Источники
-
Целевые атаки используют учетные записи на популярных онлайн-платформах в качестве C2-серверов, Securelist.
-
Хакеры используют GitHub и социальные сети для доставки Cobalt Strike Beacon, Cyber Press.
-
Хакеры развертывают Cobalt Strike Beacon с использованием GitHub и социальных сетей, GBHackers News.
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.