Xakep #305. Многошаговые SQL-инъекции
Осенью 2017 года неизвестные преступники скомпрометировали популярное приложение CCleaner, использующееся для оптимизации и «чистки» ОС семейства Windows. По данным разработчиков, тогда в ходе атаки пострадали более 2 млн пользователей, так как компрометация произошла 15 августа 2017 года, но вплоть до 12 сентября 2017 года взлом оставался незамеченным, а вместе с CCleaner распространялась малварь Floxif.
Спустя неделю после атаки ИБ-специалисты компаний Google, Cisco, Oracle, Intel, Akamai, Microsoft и так далее сообщили, что атака была сложнее, чем казалась на первый взгляд и, вероятнее всего, осуществлялась профессиональной группой «правительственных хакеров», известной под названием Axiom (также группировку называют APT17, DeputyDog, Tailgater Team, Hidden Lynx, Voho, Group 72 и AuroraPanda).
Как показало проведенное сторонними экспертами исследование, изначальные сведения о малвари Floxif, которая распространялась вместе с CCleaner, оказались неточными. Исходно официальные сообщения гласили, что вредонос способен скачивать и запускать дополнительные бинарники, но эксперты были уверены, что ни один зараженный хост не подвергся второй фазе атаки. Но, как выяснилось, злоумышленники все-таки загрузили дополнительные пейлоады как минимум на 20 разных хостов. 12-16 сентября 2017 года к управляющему серверу обращались свыше 700 000 машин, и около 40 из них подверглись второй стадии заражения.
На втором этапе злоумышленники идентифицировали подходящие для продолжения атаки системы, на которые в итоге доставлялся незатейливый бэкдор. Тот получал IP-адреса посредством поисковых запросов к github.com и wordpress.com, после чего скачивал на устройство дополнительную малварь. Интересно, что атакующие вычисляли подходящих жертв по доменным именам их компьютеров. На управляющем сервере обнаружился длинный список, в котором, например, специалисты Cisco нашли и свою компанию. Помимо Cisco преступников интересовали: Singtel, HTC, Samsung, Sony, Gauselmann, Intel, VMWare, O2, Vodafone, Linksys, Epson, MSI, Akamai, DLink, Oracle (Dyn), а также Microsoft и Google (Gmail).
Теперь, спустя полгода после инцидента, представители компании Avast, которой принадлежит CCleaner и разработавшая его компания Piriform, выступили с докладом на конференции Kaspersky Security Analyst Summit. Аналитики Avast рассказали, что их собственное расследование случившегося обнаружило на четырех машинах сотрудников Piriform малварь ShadowPad, заражение которой произошло еще в марте-апреле 2017 года. То есть компрометация произошла еще до того, как компания Avast приобрела Piriform.
Теперь специалисты предполагают, что найденный вредонос использовался злоумышленниками для проведения разведки перед основной атакой на Piriform, которую хакеры осуществили летом 2017 года. В частности, в логах удалось обнаружить сохраненные нажатия клавиш, осуществленные сотрудниками.
ShadowPad представляет собой многоцелевой модульный фреймворк со множеством плагинов, которые обеспечивают ему функциональность бэкдора, кейлоггера, позволяют похищать пароли и различные данные с зараженных устройств. Впервые ShadowPad был обнаружен исследователями «Лаборатории Касперского», в августе 2017 года, в продукции NetSarang. Уже тогда специалисты полагали, что вредонос может быть делом рук некой кибершпионской группы.
Эксперты Avast пояснили, что ShadowPad ни разу не устанавливался на компьютеры пользователей, загружавших скомпрометированную версию CCleaner. Но исследователи считают, что ShadowPad должен был использоваться во время третьей фазы атаки и, по всей видимости, должен был произвести разведку в сетях компаний, интересовавших злоумышленников. Так как малварь в составе CCleaner обнаружили раньше, группировка Axiom не успела претворить эти планы в жизнь.
В заключение своего доклада представители Avast заверили, что за прошедшие месяцы компания предприняла все необходимые меры, чтобы случившееся не повторилось вновь. В частности, было заменено оборудование, теперь разработчики используют в работе инфраструктуру и внутренние ИТ-системы Avast, отличающиеся большей надежностью.
