Нещодавно команда Microsoft Threat Intelligence Center (MSTIC) поділилася в блозі Microsoft Security своїм звітом про ACTINIUM, групу хакерів, яка вже майже десятиліття атакує українські організації.
«Як і у випадку з будь-якою спостережуваною діяльністю хакерів на національному рівні, Microsoft безпосередньо сповіщає клієнтів про онлайн-сервіси, які були атаковані або зламані, надаючи їм інформацію, необхідну для захисту їхніх облікових записів», — йдеться у дописі MSTIC.
Група наполегливо намагається отримати доступ до організацій в Україні чи установ, пов’язаних із українськими справами. MSTIC раніше ідентифікував активність ACTINIUM як DEV-0157. На світовій арені група більш відома під назвою Gamaredon.
Що таке Gamaredon/ ACTINIUM?
Дослідження зосереджується на останніх півроку діяльності групи, надаючи детальну інформацію про те, які інструменти використовують хакери та як вони їх використовують. За даними MSTIC, група, схоже, діє з окупованого Росією півострова Крим. Український уряд публічно заявив, що за діяльністю цієї групи стоїть Федеральна служба безпеки Росії (ФСБ).
ACTINIUM націлений безпосередньо на організації в Україні, включаючи військові, урядові, неурядові організації (НУО), правоохоронні, судові та багато неприбуткових організацій. Основні наміри групи – вилучення конфіденційної інформації, а також збереження доступу до пов’язаних організацій. Microsoft поділилася інформацією у звіті з українською владою.
З жовтня 2021 року ACTINIUM атакував або зламував численні акаунти в організаціях, які мають вирішальне значення в реагуванні на надзвичайні ситуації та забезпеченні безпеки території України. Хакери також ставлять своєю метою атак організації, які будуть надавати гуманітарну та міжнародну допомогу Україні в умовах кризи.
Фахівці MSTIC кажуть, що діяльність цієї групи хакерів значно відрізняється від тієї, яка була виявлена раніше, мова йде про DEV-0586. Команда помітила, що діяльність групи стосується лише організацій в Україні та не використовує жодних невиправлених уразливостей у продуктах та послугах Microsoft.
MSTIC також зазначає, що тактика Gamaredon/ACTINIUM постійно розвивається, і описані в блозі методи роботи не охоплюють повного обсягу атак цієї групи хакерів. Ті, які спостерігала команда MSTIC, є лише одними з найбільш помітних активностей.
Опис активності хакерської групи Gamaredon/ACTINIUM
Одним із методів, які група використовує для отримання початкового доступу, є фішинг цільових жертв. Листи, надіслані групою, містять шкідливі вкладення макросу, які згодом запускають віддалені шаблони.
Віддаленний запуск шаблону – це спосіб завантажити документ віддаленого шаблону документа, який містить шкідливий код, у даному випадку макроси. Цей метод гарантує, що жертва завантажує шкідливий вміст лише тоді, коли це необхідно для хакерів. Наприклад, коли користувач відкриває шкідливий документ.
Розгортання такого методу також дозволяє зловмисникам успішно уникати виявлення системами, які сканують на шкідливий вміст. Крім того, шкідливі макроси дають зловмисникам можливість контролювати, коли і як буде доставлений шкідливий компонент. Це також дозволяє групі ухилятися від виявлення.
З того, що MSTIC помітив, ця група хакерів маскує свої шкідливі електронні листи під ті, які надсилаються офіційними організаціями. У деяких прикладах, наданих MSTIC, вони маскували електронні листи так начебто вони надсилалися від Всесвітньої організації охорони здоров’я.
На додаток до макросів хакери також використовують веб-жучки, щоб відстежувати, коли повідомлення було відкрито та змінено. Ці жучки самі по собі не є шкідливими, але вони можуть вказувати на те, що отриманий електронний лист може бути шкідливим. Додатки макросів Gamaredon/ACTINIUM містять завантаження першого етапу, яке завантажує та виконує подальші завантаження.
Але для спеціалістів було незрозуміло, чому в деяких випадках було кілька завантажувальних етапів. MSTIC припускає, що це може бути зроблено для забезпечення можливості того, що повнофункціональні шкідливі завантаження менш імовірно будуть виявлені системами виявлення.
Група хакерів зберігає присутність і збирає дані для розвідки
MSTIC дійшов висновку, що головною метою діяльності групи є моніторинг та збір конфіденційної інформації з мереж, до яких здійснюється доступ. Для виконання наступних кроків група хакерів спочатку запускає інтерактивні засоби доступу; найвідомішим з них і з найбільш розвиненим функціоналом є «Птеродо».
Іншим прикладом буде UltraVNC, офіційна і повнофункціональна програма віддаленого робочого столу з відкритим вихідним кодом. Це дозволяє групі хакерів легко взаємодіяти з цільовим хостом. Той факт, що група хакерів не покладається на спеціальні двійкові файли, гарантує, що програма не буде виявлена або видалена продуктами безпеки.
Після отримання інтерактивного доступу до цільової мережі запускається виконання широкого спектру шкідливих програм. MSTIC проаналізував приклади шкідливих програм і згрупував їх у такі сімейства шкідливих програм: Pterodo, PowerPunch, ObfuMerry, ObfuBery, DilongTrash, DesertDown, DinoTrain, QuietSieve.
Які ознаки діяльності хакерської групи Gamaredon/ACTINIUM?
Для клієнтів Microsoft команда підготувала поради щодо виявлення активності цієї групи загроз.
Далі будуть ті, що стосуються електронних листів:
- Зловмисне програмне забезпечення не було заблоковано, оскільки ZAP вимкнено;
- Виявлена та заблокована кампанія зловмисного програмного забезпечення;
- Виявлена кампанія зловмисного програмного забезпечення після доставки електронного листа;
- Електронний лист повідомляється користувачем як зловмисне програмне забезпечення або фішинг;
- Електронний лист видалено після доставки;
- Видалено повідомлення електронної пошти після доставки, яке містило зловмисне програмне забезпечення;
- Видалено електронний лист після доставки, яке містило шкідливий файл.
Вищезгадані попередження безпеки повинні вказувати на зловмисницьку діяльність, пов’язану з цією групою хакерів. Однак попередження не обов’язково можуть бути пов’язані з Gamaredon/ACTINIUM. Команда надала їх на випадок атаки групою, коли користувачі повинні негайно розслідувати причину, враховуючи серйозність наслідків діяльності хакерів.
Попередження в центрі безпеки, які також можуть вказувати на активність цієї групи, включатимуть:
- Підозрілий на вигляд процес, який передає дані до якоїсь зовнішньої мережі;
- Постановка конфіденційних даних;
- Сумнівна активність захоплення екрана;
- Незвичайний файл, створений і доданий до ключа виконання;
- Створено ненормально заплановане завдання;
- Завантажена дивна бібліотека динамічних посилань;
- Ненормальний процес, що виконує закодовану команду.
Список також включає різні дії щодо підозрілого виконання файлу.
