Хакер #315. Positive Hack Days Fest 3
Специалисты Positive Technologies рассказали об обнаружении неизвестного ранее инструментария хак-группы Goffee (она же Paper Werewolf). Он использовался на поздних этапах атак и позволял злоумышленникам длительное время оставаться незамеченными в инфраструктуре жертв.
В течение 2024 года специалисты расследовали несколько инцидентов, которые имели схожие характеристики. В результате анализа вредоносная активность была объединена в один кластер и отнесена к действиям Goffee, которая атакует российские организации с использованием фишинга с 2022 года.
В отчете подчеркивается, что деятельность группировки уже привела к ощутимым последствиям: были зафиксированы случаи остановки бизнес-процессов в неназванных пострадавших компаниях. Также отмечается, что в открытых источниках крайне мало информации о Goffee, так как хакеры стремятся оставаться незамеченными, а географически их атаки преимущественно нацелены на Россию.
Исследователи рассказывают, что на поздних этапах развития атак для удаленного управления и сокрытия следов присутствия использовалось несколько новых инструментов: руткит sauropsida, инструменты для туннелирования трафика DQuic и BindSycler, а также бэкдор MiRat.
При этом группировка задействовала и старые средства, такие как owowa, вредоносный модуль для получения учетных записей пользователей, и PowerTaskel — непубличный агент для фреймворка Mythic.
Для усложнения анализа используется упаковщик Ebowla, обфускатор для Golang garbler, а также собственный алгоритм для шифрования трафика и вредоносных файлов. Также Goffee активно использует инструменты для туннелирования трафика и тщательно скрывает свои управляющие серверы.
Кроме того, специалисты рассказывают, что в основном Goffee предпочитает использовать регистраторы Namecheap и NameSilo, а также российские IP-адреса и хостинги (MivoCloud, Aeza, XHost).
Эта тактика помогает минимизировать риск обнаружения, поскольку маскирует активность под действия внутреннего сотрудника и позволяет обойти фильтрацию трафика по геолокации. За счет этого злоумышленники на промежуточном этапе атаки доставляют вредоносное ПО и настраивают скрытые соединения, оставаясь незамеченными.
