Пентест WEB: практический курс для начинающих
Эксперты «Лаборатории Касперского» обнаружили новую кампанию хак-группы GOFFEE, нацеленную преимущественно на российские ИТ-компании. Для первоначального заражения атакующие рассылают фишинговые письма с документами, которые выглядят поврежденными. Одновременно с этим группировка расширяет географию атак, и теперь среди ее целей появились организации из Беларуси.
По словам исследователей, злоумышленники специально искажают текст во вложениях к фишинговым письмам, заменяя часть кириллических букв похожими символами. В итоге документ выглядит поврежденным, а после его открытия жертве показывают баннер с предложением «включить содержимое». На самом деле, таким образом запускается цепочка заражения.
Хотя сам документ не содержит малварь, при открытии он обращается к внешнему серверу и загружает удаленный шаблон с макросом. Макрос декодирует спрятанный в документе Base64-пейлоад, создает JScript-файл и запускает его через cscript.exe. Тот через WMI запускает скрытый процесс PowerShell, который загружает финальную .NET-сборку прямо в память.
Чтобы убедить жертву разрешить выполнение макросов, злоумышленники используют разные уловки. К примеру, один из изученных специалистами файлов был замаскирован под бухгалтерскую выгрузку из системы «1С». Отмечается, что в новых рассылках хакеры меняют документы, серверы и способы доставки шаблонов, однако общая схема атак остается прежней.
Эксперты пишут, что ИТ-сектор представляет особый интерес для хак-групп, которые атакуют цепочки поставок. По данным внутреннего исследования «Лаборатории Касперского», половина российских компаний работает более чем с 50 поставщиками ПО и оборудования, а 14% организаций — более чем со 100. В результате компрометация одной технологической компании потенциально открывает атакующим путь к множеству ее клиентов и партнеров.
Раньше группировка GOFFEE в основном полагалась на малварь собственной разработки, однако в новой кампании хакеры нередко работали вручную и использовали штатные системные средства и общедоступные утилиты. Так, после закрепления в сети злоумышленники искали конфигурации AnyDesk, OpenVPN, Kerio Control, Telegram и pgAdmin, загружали инструменты через curl, wget, certutil и PowerShell, а для запуска HTA-скриптов использовали собственную копию mshta.exe.
Одной из самых необычных техник стала передача собранных данных через HTTP-заголовок User-Agent. Операторы разбивали вывод команд вроде tasklist и whoami на отдельные строки и отправляли их на управляющий сервер, маскируя эксфильтрацию под обычный веб-трафик.
Кроме того, исследователи впервые обнаружили Mythic-агент GOFFEE внутри контейнера Linux. Предположительно, для его запуска хакеры модифицировали штатный скрипт RabbitMQ. Пейлоад размещался в анонимной области памяти через memfd_create и выполнялся без сохранения исполняемого файла на диск.
«Запуск Mythic-агента в контейнерной среде, вероятнее всего, означает, что злоумышленники планируют использовать ее как площадку для своих операций. Кроме того, группа использовала необычно богатый для нее набор процедур постэксплуатации — в том числе, с активной работой „руками”, опорой на легитимные утилиты и такими нетривиальными приемами, как передача данных через HTTP-заголовок User-Agent. Также мы фиксируем расширение географии атак: помимо российских целей, в поле зрения GOFFEE попала Беларусь. Все это говорит о том, что группировка развивается и продолжает пополнять свой инструментарий, а также осваивать новые тактики», — комментируют специалисты.
