APT იყენებს კორონავირუსს მავნე პროგრამების გასავრცელებლად

ახლახან აღმოაჩინეს APT-ის საფრთხეების ჯგუფი, რომელიც იყენებს შუბის ფიშინგ კამპანიებს კოროვირუსული პანდემიის გამოსაყენებლად მათი მავნე პროგრამების გასავრცელებლად.

მსოფლიო ამჟამად განიცდის გამონაკლის ვითარებას ამჟამინდელი Covid-19 კორონავირუსის პანდემიის გამო. ვირუსის გავრცელების შესაჩერებლად, მთელს მსოფლიოში უამრავმა კომპანიამ დაიწყო დისტანციური (დისტანციური) მუშაობის ახალი რეჟიმი. ამან მნიშვნელოვნად გააფართოვა თავდასხმის ზედაპირი, რაც დიდ გამოწვევას უქმნის კომპანიებს ინფორმაციის უსაფრთხოების კუთხით, ვინაიდან მათ ახლა მკაცრი წესების დაწესება და ზომების მიღება სჭირდებათ. რიგი ღონისძიებები უზრუნველყოს საწარმოსა და მისი IT სისტემების მუშაობის უწყვეტობა.

თუმცა, თავდასხმის გაფართოებული ზედაპირი არ არის ერთადერთი კიბერრისკი, რომელიც გაჩნდა ბოლო რამდენიმე დღის განმავლობაში: ბევრი კიბერკრიმინალი აქტიურად იყენებს ამ გლობალურ გაურკვევლობას ფიშინგის კამპანიების ჩასატარებლად, მავნე პროგრამების გასავრცელებლად და საფრთხეს უქმნის მრავალი კომპანიის ინფორმაციულ უსაფრთხოებას.

APT იყენებს პანდემიას

გასული კვირის ბოლოს აღმოაჩინეს Advanced Persistent Threat (APT) ჯგუფი სახელად Vicious Panda, რომელიც აწარმოებდა კამპანიებს წინააღმდეგ შუბის ფიშინგიკოროვირუსული პანდემიის გამოყენებით მათი მავნე პროგრამების გასავრცელებლად. ელფოსტამ მიმღებს უთხრა, რომ ის შეიცავს ინფორმაციას კორონავირუსის შესახებ, მაგრამ სინამდვილეში ელფოსტა შეიცავდა ორ მავნე RTF (Rich Text Format) ფაილს. თუ მსხვერპლი გახსნა ამ ფაილებს, ამოქმედდა დისტანციური წვდომის ტროას (RAT), რომელსაც, სხვა საკითხებთან ერთად, შეეძლო ეკრანის ანაბეჭდების გადაღება, ფაილების და დირექტორიების სიების შექმნა მსხვერპლის კომპიუტერზე და ფაილების ჩამოტვირთვა.

კამპანია აქამდე მიზნად ისახავდა მონღოლეთის საჯარო სექტორს და ზოგიერთი დასავლელი ექსპერტის აზრით, ეს წარმოადგენს უახლეს თავდასხმას ჩინეთის მიმდინარე ოპერაციაში სხვადასხვა მთავრობებისა და ორგანიზაციების წინააღმდეგ მთელს მსოფლიოში. ამჯერად კამპანიის თავისებურება ის არის, რომ ის იყენებს ახალ გლობალურ კოროვირუსულ სიტუაციას პოტენციური მსხვერპლის უფრო აქტიურად დაინფიცირებისთვის.

ფიშინგის ელფოსტა, როგორც ჩანს, მონღოლეთის საგარეო საქმეთა სამინისტროდანაა და აცხადებს, რომ შეიცავს ინფორმაციას ვირუსით ინფიცირებულთა რაოდენობის შესახებ. ამ ფაილის იარაღის შესაქმნელად, თავდამსხმელებმა გამოიყენეს RoyalRoad, პოპულარული ინსტრუმენტი ჩინელ საფრთხის შემქმნელებს შორის, რომელიც საშუალებას აძლევს მათ შექმნან საბაჟო დოკუმენტები ჩაშენებული ობიექტებით, რომლებსაც შეუძლიათ გამოიყენონ დაუცველობა MS Word-ში ინტეგრირებულ განტოლების რედაქტორში რთული განტოლებების შესაქმნელად.

გადარჩენის ტექნიკა

მას შემდეგ, რაც მსხვერპლი გახსნის მავნე RTF ფაილებს, Microsoft Word იყენებს დაუცველობას, რათა ჩაიტვირთოს მავნე ფაილი (intel.wll) Word-ის გაშვების საქაღალდეში (%APPDATA%MicrosoftWordSTARTUP). ამ მეთოდის გამოყენებით, საფრთხე არა მხოლოდ ელასტიური ხდება, არამედ ის ასევე ხელს უშლის მთელი ინფექციის ჯაჭვის აფეთქებას ქვიშის ყუთში მუშაობისას, რადგან Word უნდა გადაიტვირთოს მავნე პროგრამის სრულად გასაშვებად.

შემდეგ intel.wll ფაილი ატვირთავს DLL ფაილს, რომელიც გამოიყენება მავნე პროგრამის ჩამოსატვირთად და ჰაკერების ბრძანებისა და კონტროლის სერვერთან კომუნიკაციისთვის. ბრძანებისა და კონტროლის სერვერი მუშაობს მკაცრად შეზღუდული დროის განმავლობაში ყოველდღე, რაც ართულებს ინფექციის ჯაჭვის ყველაზე რთულ ნაწილებზე ანალიზს და წვდომას.

ამის მიუხედავად, მკვლევარებმა შეძლეს დაედგინათ, რომ ამ ჯაჭვის პირველ ეტაპზე, შესაბამისი ბრძანების მიღებისთანავე, RAT იტვირთება და გაშიფრულია და იტვირთება DLL, რომელიც იტვირთება მეხსიერებაში. დანამატის მსგავსი არქიტექტურა ვარაუდობს, რომ ამ კამპანიაში ნანახი დატვირთვის გარდა, არსებობს სხვა მოდულები.

ახალი APT-ისგან დაცვის ზომები

ეს მავნე კამპანია იყენებს მრავალ ხრიკს, რათა შეაღწიოს მსხვერპლთა სისტემაში და შემდეგ კომპრომეტირება გაუწიოს მათ ინფორმაციულ უსაფრთხოებას. ასეთი კამპანიებისგან თავის დასაცავად მნიშვნელოვანია მთელი რიგი ღონისძიებების გატარება.

პირველი ძალიან მნიშვნელოვანია: მნიშვნელოვანია, რომ თანამშრომლები იყვნენ ყურადღებიანი და ფრთხილად ელ.ფოსტის მიღებისას. ელ.ფოსტა არის თავდასხმის ერთ-ერთი მთავარი ვექტორი, მაგრამ თითქმის არცერთ კომპანიას არ შეუძლია ელფოსტის გარეშე. თუ თქვენ მიიღებთ წერილს უცნობი გამგზავნისგან, უმჯობესია არ გახსნათ ის, ხოლო თუ გახსნით, არ გახსნათ დანართები და არ დააჭიროთ ბმულებს.

მისი მსხვერპლის ინფორმაციული უსაფრთხოებისთვის კომპრომეტირებისთვის, ეს შეტევა იყენებს Word-ის დაუცველობას. ფაქტობრივად, გამოუყენებელი დაუცველობა არის მიზეზი მრავალი კიბერშეტევის წარმატება, და უსაფრთხოების სხვა საკითხებთან ერთად, მათ შეუძლიათ გამოიწვიონ მონაცემების ძირითადი დარღვევა. სწორედ ამიტომ არის ძალიან მნიშვნელოვანი შესაბამისი პაჩის გამოყენება დაუცველობის რაც შეიძლება მალე დახურვის მიზნით.

ამ პრობლემების აღმოსაფხვრელად, არსებობს გადაწყვეტილებები, რომლებიც სპეციალურად შექმნილია იდენტიფიკაციისთვის, პაჩების მართვა და მონტაჟი. მოდული ავტომატურად ეძებს პატჩებს, რომლებიც აუცილებელია კომპანიის კომპიუტერების უსაფრთხოების უზრუნველსაყოფად, პრიორიტეტს ანიჭებს ყველაზე გადაუდებელ განახლებებს და ადგენს მათ ინსტალაციას. ინფორმაცია პატჩების შესახებ, რომლებიც საჭიროებენ ინსტალაციას, ეცნობება ადმინისტრატორს მაშინაც კი, როდესაც აღმოჩენილია ექსპლოიტები და მავნე პროგრამები.

გამოსავალს შეუძლია დაუყოვნებლივ გამოიწვიოს საჭირო პატჩებისა და განახლებების ინსტალაცია, ან მათი ინსტალაცია შეიძლება დაიგეგმოს ვებ-ზე დაფუძნებული ცენტრალური მართვის კონსოლიდან, საჭიროების შემთხვევაში, გამოუყენებელი კომპიუტერების იზოლირება. ამ გზით, ადმინისტრატორს შეუძლია მართოს პატჩები და განახლებები, რათა კომპანია შეუფერხებლად იმუშაოს.

სამწუხაროდ, განსახილველი კიბერშეტევა, რა თქმა უნდა, არ იქნება უკანასკნელი, რომელიც ისარგებლებს არსებული გლობალური კოროვირუსული სიტუაციით ბიზნესის ინფორმაციული უსაფრთხოების კომპრომეტირებისთვის.

წყარო: www.habr.com