🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
📚Заражение до первого включения. Хакеры внедрили шпионский код прямо в установочные образы Windows
18 августа. / securitylab.ru /. GOFFEE годами сидела в российских компаниях незамеченной.
Новый компьютер мог оказаться заражённым ещё до первого входа сотрудника и установки антивируса. Шпионская группировка GOFFEE встроила бэкдоры в корпоративные ISO-образы Windows, а во внутреннем хранилище российской компании подменила исполняемые файлы 7-Zip и Git. Редкую схему длительного закрепления раскрыли специалисты Лаборатории цифровой криминалистики и исследования вредоносного кода F6.
F6 отслеживает активность GOFFEE, также известной как Paper Werewolf, с 2022 года. Группировка атакует российские госучреждения и организации из сфер ВПК, ИТ, логистики, СМИ, телекоммуникаций, строительства, энергетики, образования, промышленности, туризма и финансов. Главной целью кампаний остаётся кибершпионаж, а характерной чертой выступает стремление как можно дольше сохранять незаметный доступ к инфраструктуре жертвы.
К началу расследования злоумышленники давно контролировали множество устройств, хорошо знали архитектуру сети и располагали высокими привилегиями. GOFFEE применяла инструменты собственной разработки, включая решения на базе публичных проектов, и усложняла анализ с помощью обфускации. После обнаружения и удаления очередного бэкдора группировка быстро меняла код и загружала новую версию, которую прежние правила выявления уже не распознавали. На части рабочих станций к моменту анализа почти не осталось данных, пригодных для компьютерной криминалистики.
Первоначальный доступ GOFFEE получала через фишинговые письма с вредоносными архивами и документами-приманками. Рассылки маскировались под сообщения от государственных структур, подрядчиков и контрагентов. В исследованной атаке группировка загружала агент QwakMyAgent с подконтрольных доменов через штатный компонент Windows mshta.exe. Бэкдор предоставлял полный контроль над компьютером и доставлял дополнительные инструменты.
На ключевых устройствах GOFFEE размещала сразу несколько бэкдоров с разными механизмами запуска. F6 обнаружила удалённый агент lonelymine, SSH-бэкдоры ElfDoor, BindSycler и SWATSSHD, агенты Mythic, а также модифицированный туннель Neo-reGeorg. Распределённая сеть доменов позволяла назначать отдельный командный сервер большинству вредоносных программ. Украденные сведения передавались через бэкдоры, утилиту rclone и облачное хранилище Mega.
По выводу F6, недостаточное внимание к первым подозрительным событиям позволило GOFFEE надолго закрепиться в инфраструктуре. После глубокого проникновения обычного мониторинга уже недостаточно. Для выявления скрытых бэкдоров компаниям требуются постоянный сбор телеметрии, регулярный анализ аномалий и проактивный поиск угроз.
📲 Подписывайтесь на наш канал в МАХ!