Kampania szpiegowska wiązana z rosyjskimi służbami specjalnymi! Konieczne wdrożenie odpowiednich mechanizmów

  We wszystkich zaobserwowanych przypadkach aktor korzystał z techniki spear phishingu. Do wybranych pracowników placówek dyplomatycznych wysyłane były wiadomości e-mail podszywające się pod ambasady krajów europejskich. Korespondencja zawierała zaproszenie na spotkanie lub do wspólnej pracy nad dokumentami. W treści wiadomości lub w załączonym dokumencie PDF zawarty był odnośnik rzekomo kierujący do kalendarza ambasadora, szczegółów spotkania lub pliku do pobrania.

Rys. 1 Przykładowa wiadomość email podszywająca się pod polską ambasadę i nakłaniająca do kliknięcia w złośliwy link.

Odnośnik kierował do przejętej strony, na której umieszczony był charakterystyczny dla tego aktora skrypt, publicznie opisywany jako „ENVYSCOUT”. Korzysta on z techniki HTML Smuggling – przy jej użyciu złośliwy plik umieszczony na stronie jest odkodowywany przy użyciu skryptu JavaScript w momencie otwarcia strony, a następnie pobierany na urządzenie ofiary. Dzięki temu złośliwy plik jest trudniejszy do wykrycia po stronie serwera, na którym jest przechowywany. Skrypt wyświetlał również stronę internetową, której treść miała na celu utwierdzenie ofiary w przekonaniu, że pobrała prawidłowy załącznik.

W trakcie opisywanej kampanii, zaobserwowano trzy różne wersje narzędzia ENVYSCOUT, stopniowo dodające nowe mechanizmy utrudniające analizę.

Rys 2. Strona podszywająca się pod polską ambasadę sugerująca udostępniony kalendarz do pobrania

Obserwowane w przeszłości kampanie wiązane z „NOBELIUM” oraz „APT29” wykorzystywały do dostarczenia złośliwego oprogramowania pliki z rozszerzeniem .ZIP lub .ISO. W trakcie opisywanej kampanii, oprócz podanych wcześniej rozszerzeń, używane były również pliki .IMG. Obrazy dysków ISO oraz IMG, na komputerach z systemem Windows, po otwarciu są automatycznie montowane w systemie plików, co powoduje wyświetlenie ich zawartości w eksploratorze Windows. Dodatkowo nie przenoszą one tzw. mark-of-the-web, czyli użytkownikowi nie zostanie wyświetlone ostrzeżenie, że pliki zostały pobrane z Internetu.

Aktor wykorzystywał różne techniki, aby nakłonić użytkownika do uruchomienia złośliwego oprogramowania. Jedną z nich był plik skrótu udający dokument, a w rzeczywistości uruchamiający ukrytą bibliotekę DLL z narzędziami aktora. Zaobserwowano również technikę DLL Sideloading, polegającą na użyciu podpisanego pliku wykonywalnego do załadowania i wykonania kodu zawartego w ukrytej bibliotece DLL poprzez umieszczenie jej w tym samym katalogu, pod nazwą dobraną w zależności od wpisów w tablicy importów. Na późniejszym etapie kampanii nazwa pliku wykonywalnego zawierała wiele spacji, aby utrudnić zauważenie rozszerzenia exe.

Rys. 3 Widok po uruchomieniu przez ofiarę pliku obrazu przy domyślnych ustawieniach eksploratora Windows.

Narzędzia wykorzystywane podczas kampanii
Aktor wykorzystywał różne narzędzia na poszczególnych etapach opisywanej kampanii. Wszystkie wymienione poniżej są unikalne dla opisywanego zbioru aktywności. Szczegółowa analiza techniczna każdego z nich została zamieszczona w osobnych dokumentach:

SNOWYAMBER – narzędzie wykorzystane po raz pierwszy w październiku 2022 r. i nadużywające serwis Notion7 do komunikacji oraz pobierania kolejnych złośliwych plików. Zaobserwowano dwie wersje tego narzędzia.
HALFRIG – narzędzie wykorzystane po raz pierwszy w lutym 2023 r., wyróżnia się ono od pozostałych osadzonym na stałe kodem uruchamiającym narzędzie COBALT STRIKE.
QUARTERRIG – narzędzie wykorzystane po raz pierwszy w marcu 2023, współdzielące część kodu z HALFRIG. Zaobserwowano dwie wersje tego narzędzia.
Pierwsza wersja narzędzia SNOWYAMBER została publicznie opisana m.in. przez Recorded Future8. Zmodyfikowana wersja narzędzia SNOWYAMBER, narzędzie HALFRIG oraz QUATERRIG nie były wcześniej opisane publicznie.

Rys.4 Linia czasu ilustrująca zaobserwowane działania aktora

Narzędzia SNOWYAMBER oraz QUARTERRIG były używane jako tzw. downloader’y. Oba narzędzia przesyłały do aktora adres IP oraz nazwę komputera i użytkownika, które służyły do oceny czy ofiara jest interesująca oraz prawdopodobnie, czy nie jest to środowisko do analizy złośliwego oprogramowania. Jeżeli zainfekowana stacja robocza przeszła pomyślnie ręczną weryfikację, wykorzystywano wspomniane downloader’y celem dostarczenia i uruchomienia komercyjnych narzędzi COBALT STRIKE lub BRUTE RATEL. Z kolei HALFRIG działa na zasadzie tzw. loadera – zawiera w sobie i uruchamia automatycznie narzędzie COBALT STRIKE.

Rys. 5 ilustracja przebiegu dostarczenia narzędzi aktora

Pomimo obserwowanych zmian w narzędziach, wiele z elementów kampanii jest powtarzalne. Są to m.in.:

1. Sposób budowania infrastruktury. Aktor stojący za kampanią szpiegowską preferuje wykorzystywanie podatnych stron internetowych należących do przypadkowych podmiotów.
2. Motyw przewodni wiadomości email. Wszystkie pozyskane wiadomości email użyte w kampaniach wykorzystywały motyw korespondencji pomiędzy podmiotami dyplomatycznymi.
3. Wykorzystanie narzędzia nazywanego publicznie ENVYSCOUT. Skrypt ten był wykorzystywany przez aktora od co najmniej 2021 roku⁹. W trakcie trwania zaobserwowanej kampanii zaobserwowano zmiany w kodzie narzędzia, ale nie wpłynęły one znacząco na jego funkcjonalności.
4. Link do narzędzia ENVYSCOUT był dostarczany ofierze w postaci odnośnika umieszczonego w treści wiadomości e-mail lub w treści załączonego pliku PDF.
5. Użycie obrazów dysków ISO oraz IMG.
6. Użycie techniki zwanej „DLL Sideloading” wykorzystującej niezłośliwy, podpisany cyfrowo plik wykonywalny do uruchomienia własnych narzędzi.
7. Użycie komercyjnych narzędzi COBALT STRIKE oraz BRUTE RATEL.

SKW oraz CERT.PL mocno rekomendują wszystkim podmiotom mogącym znajdować się w obszarze zainteresowania aktora wdrożenie zmian konfiguracyjnych mających na celu przerwanie mechanizmu dostarczenia, który był używany w opisywanej kampanii. Sektory, które szczególnie powinny rozważyć wdrożenie zaleceń to:

1. Podmioty rządowe;
2. Podmioty dyplomatyczne, ministerstwa spraw zagranicznych, ambasady, personel dyplomatyczny i pracujący w podmiotach międzynarodowych;
3. Organizacje międzynarodowe;
4. Organizacje pozarządowe.

Poniższe zmiany konfiguracyjne mogą posłużyć do przerwania mechanizmu dostarczenia złośliwego oprogramowania użytego w opisywanej kampanii:

1. Zablokowanie możliwości montowanie w systemie plików obrazów dysków. Większość użytkowników wykonujących prace biurowe nie posiada potrzeby pobierania i używania plików ISO lub IMG.
2. Monitorowanie montowania plików obrazów dysków przez użytkowników pełniących role administratorów.
3. Włączenie i konfiguracja reguł Attack Surface Reduction Rules¹⁰.
4. Konfiguracja reguł Software Restrition Policy i zablokowanie możliwości uruchamiania plików wykonywalnych z nietypowych lokalizacji (w szczególności: katalogi tymczasowe, %localappdata% i katalogi podrzędne, nośniki zewnętrzne¹¹).