Специалисты по кибербезопасности компании Huntress предупредили об обнаружении новой фишинговой кампании. Злоумышленники используют поддельный брендинг Adobe для обмана пользователей, вынуждая их устанавливать вредоносное программное обеспечение. Основной задачей атакующих является получение постоянного удаленного доступа к зараженным устройствам через модифицированные клиенты системы ScreenConnect.
Метод «браузер в браузере» как инструмент обмана
Особенностью данной атаки является использование техники «браузер в браузере» (BitB). Вместо простой переадресации на вредоносный сайт, преступники применяют HTML, CSS или JavaScript для создания внутри основной веб-страницы целого фейкового окна браузера. Оно включает в себя адресную строку, индикаторы безопасности и другие визуальные элементы интерфейса. Благодаря этому пользователи могут видеть легитимный URL-адрес, что внушает им ложное чувство защищенности.
Внутри такого поддельного окна жертве демонстрируют размытый PDF-документ с наложенным сообщением о том, что файл «защищен» и создан с помощью «последней версии Adobe». Для его просмотра пользователю предлагается скачать или обновить Adobe PDF Reader. При нажатии на кнопку «Просмотр файлов» запускается процесс загрузки, при этом визуально имитируется ход выполнения операции. В фоновом режиме на компьютер жертвы устанавливается вредоносный клиент ScreenConnect.
Использование легитимного ПО для атак
Программа ScreenConnect сама по себе является безопасным инструментом для удаленного администрирования, аналогичным TeamViewer или AnyDesk. Однако в данном случае преступники используют его модифицированные версии. По данным Huntress, первоначально устанавливается клиент, настроенный на связь с доменным узлом instance-uxh86b-relay.screenconnect.com. Использование легитимного домена пробной версии Relay помогает атакующим дольше оставаться незамеченными.
В дальнейшем этот клиент с помощью стандартной командной оболочки Windows и утилиты curl загружает второй вредоносный компонент, который связывается с сервером, подконтрольным злоумышленникам. Для обеспечения скрытности и закрепления в системе оба клиента создают службы, работающие в фоновом режиме. Кроме того, преступники запускают исполняемый файл HideCursor.exe, который скрывает активность курсора мыши в сессии удаленного управления.
Рекомендации по защите от фишинга
На текущий момент конечные цели злоумышленников остаются неизвестными, так как деятельность группы была пресечена экспертами Huntress на этапе первичного закрепления. Несмотря на это, специалисты призывают организации проявлять бдительность.
- Обучайте сотрудников критически относиться к неожиданным запросам на обновление ПО или страницам просмотра файлов.
- Рекомендуйте пользователям всегда проверять источники загрузки программ через официальные каналы.
- Ограничьте права пользователей на установку инструментов удаленного управления (RMM).
- Поддерживайте актуальный перечень утвержденного RMM-софта в корпоративной сети.
- Настройте оповещения о появлении новых или неавторизованных клиентов ScreenConnect, а также о подозрительных сетевых соединениях.
- Внимательно отслеживайте исполняемые файлы, запускаемые из папок загрузки (Downloads).
ИТ-командам рекомендуется изучить индикаторы компрометации (IoC), предоставленные специалистами, для проверки защищенности своей инфраструктуры.
Детали реализации атаки и технические нюансы
В своем отчете эксперты Huntress подчеркивают, что им не удалось обнаружить само фишинговое письмо, послужившее точкой входа, поэтому точный вид сообщения остается неизвестным. Тем не менее, исследователи зафиксировали переход жертв по ссылкам на тайпосквоттинговый (ошибочно написанный) домен adoube[.]vu, который имитирует официальную целевую страницу Adobe. Именно этот адрес является отправной точкой для активации механизма BitB, позволяющего злоумышленникам успешно маскировать свои действия под легитимный процесс обновления программного обеспечения.
Техническая цепочка заражения, выявленная специалистами, выглядит следующим образом:
- Первичная загрузка: В момент, когда жертва взаимодействует с поддельным окном браузера, происходит автоматическое скачивание вредоносного объекта. Пользователь, ожидая получения PDF-ридера, фактически запускает процесс развертывания скомпрометированного клиента ScreenConnect.
- Вторая стадия: Исходный вредоносный клиент, установленный на первом этапе, не является финальным инструментом атаки. С помощью нативной командной оболочки Windows (cmd) и утилиты curl, он загружает дополнительный, второй клиент ScreenConnect.
- Закрепление: Вторая итерация клиента настраивается на связь с IP-адресом, полностью контролируемым злоумышленниками. Для обеспечения устойчивости доступа оба клиента регистрируются в системе как фоновые службы, что позволяет им автоматически запускаться при старте ОС.
Последствия и неопределенность целей
Важно отметить, что, несмотря на детальное изучение процесса заражения, исследователи из Huntress пока не располагают информацией о конечных целях атакующих. Поскольку активность злоумышленников была обнаружена и заблокирована на этапе первичного закрепления в системе, специалисты не могут с уверенностью утверждать, планировалось ли последующее развертывание программ-вымогателей или кража конфиденциальных корпоративных данных. Кроме того, на данный момент не разглашаются детали о характере целей: не уточняется размер пострадавших организаций и сфера их деятельности.
В связи с этим отсутствие данных не позволяет строить прогнозы относительно мотивации преступников. Однако сама по себе изощренность метода «браузер в браузере» в сочетании с эксплуатацией легитимных инструментов администрирования указывает на высокую квалификацию атакующих, способных обходить стандартные механизмы фильтрации контента и психологически манипулировать бдительностью сотрудников.
Рекомендации по мониторингу безопасности
Помимо общих административных мер, эксперты настаивают на конкретных действиях для выявления IoC (индикаторов компрометации):
«Бизнесу необходимо тщательно отслеживать любую подозрительную активность, связанную с запуском исполняемых файлов из папок Downloads пользователей, а также настроить системы мониторинга на фиксацию необычных релейных соединений, инициируемых инструментами удаленного управления».
ИТ-департаментам также рекомендуется регулярно сверять перечень установленного программного обеспечения с «белым списком» RMM-решений, чтобы оперативно выявлять любые несанкционированные инстансы ScreenConnect, которые могут быть использованы для скрытого наблюдения или управления инфраструктурой.
