Эксперты «Лаборатории Касперского» предупредили о кампании кибершпионской группировки NightEagle (APT-Q-95), нацеленной на российские производственные и строительные предприятия. Эта группа активна как минимум с 2023 года, но раньше атаковала организации в странах Азии. По данным исследователей, это первый известный случай активности NightEagle за пределами региона.
В большинстве изученных специалистами инцидентов злоумышленники проникали в корпоративные сети через VPN, используя скомпрометированные действующие учетные записи. Подключения исходили с IP-адресов российского сегмента, связанных с Cloudflare WARP, а также через инфраструктуру европейских провайдеров.
После этого атакующие размещали на серверах Microsoft Exchange бэкдор GhostContainer. Точный способ его доставки пока определить не удалось, но исследователи полагают, что хакеры могли извлекать криптографические ключи Exchange из конфигурации ASP.NET, модифицировать параметр VIEWSTATE и таким образом запускать вредонос прямо в памяти сервера.
GhostContainer собран из компонентов нескольких опенсорсных проектов, свободно доступных на GitHub. В их числе туннель Neo-reGeorg, эксплоит для CVE-2020-0688, а также компоненты ysoserial. В результате бэкдор способен перенаправлять сетевой трафик, а также обходить AMSI и механизмы журналирования Windows.
После закрепления в инфраструктуре жертв злоумышленники перемещались между системами с помощью RDP, а также активно использовали легитимные инструменты. В частности, хакеры сочетали Microsoft Dev Tunnels с общедоступной утилитой rdp2tcp. Эта связка позволяла атакующим сохранять доступ к сети с использованием легитимных сервисов без открытия дополнительных подозрительных портов. При этом инструменты для туннелирования злоумышленники хранили на GitHub, маскируя архивы и исполняемые файлы под легитимное ПО.
Для дальнейшего продвижения по сети группа эксплуатировала уязвимости в Active Directory и давно не обновлявшихся системах. Например, в одном из инцидентов NightEagle воспользовалась нашумевшим багом CVE-2019-0708 (BlueKeep), чтобы создать локальную учетную запись и добавить ее в группы администраторов и пользователей удаленного рабочего стола.
Кроме того, атакующие запрашивали билеты Kerberos с нестандартным набором флагов (Forwardable, Proxiable, Renewable) и предпринимали попытки репликации объекта Domain-Password базы данных Active Directory для мимикрии под контроллер домена (атака DCSync) после получения учетной записи с достаточными привилегиями. В результате хакеры могли получать хеши паролей доменных учетных записей, закрепляться в инфраструктуре и в итоге компрометировать контроллеры домена и всю среду Active Directory.
Исследователи отмечают, что одна из особенностей NightEagle — активное использование легитимных сервисов и уже существующих проблем в инфраструктуре жертв, хотя такая активность все равно оставляет заметные следы в системных и сетевых журналах.
