Российские ИТ-компании получают фишинговые рассылки с «поврежденными» документами
По данным портала киберразведки Kaspersky Threat Intelligence Portal, группа существенно обновила свои методы и инструментарий — в частности, атакующие стали активно осваивать контейнерную инфраструктуру. Также расширилась география атак — среди мишеней есть организации в Беларуси.
Масштаб угрозы. ИТ-сектор входит в число наиболее атакуемых отраслей, наряду с государственными учреждениями и промышленностью. Он представляет особый интерес для злоумышленников, совершающих атаки на цепочки поставок ПО. По данным внутреннего исследовательского центра «Лаборатории Касперского», 50% компаний в РФ работают более чем с 50 поставщиками ПО и аппаратного обеспечения, что значительно выше среднемирового уровня, а 14% — с более чем 100.
Приманка на «битые» файлы. Группа маскирует вложения под повреждённые документы — для этого злоумышленники подменяют часть кириллических букв на другие символы. На баннере в этих документах утверждается, что для корректного отображения текста необходимо «включить содержимое». На самом деле таким образом запускается цепочка заражения: файл подгружает удалённый шаблон с макросом, который выполняет вредоносную нагрузку. Чтобы убедить жертву разрешить макрос, атакующие прибегают к различным уловкам. Например, один из образцов был замаскирован под бухгалтерскую выгрузку из системы 1С. Злоумышленники при этом совершенствуют схему атаки: используют новые приманки и адреса для загрузки шаблонов.
Изменения в методах и инструментах. Обычно GOFFEE в значительной степени полагается на собственное вредоносное ПО, однако в данной кампании злоумышленники активно прибегали к ручной работе, а также опирались на общедоступные утилиты и легитимные инструменты. Среди наиболее заметных изменений — освоение группой контейнерной инфраструктуры. Эксперты «Лаборатории Касперского» обнаружили Mythic-агент группы внутри Linux-контейнера. Злоумышленники уже ранее атаковали Unix-среды, однако перенос операций непосредственно в контейнерную инфраструктуру встречается впервые.
«Запуск Mythic-агента в контейнерной среде, вероятнее всего, означает, что злоумышленники планируют использовать её как площадку для своих операций. Кроме того, группа использовала необычно богатый для неё набор процедур постэксплуатации, в том числе с активной работой „руками”, опорой на легитимные утилиты и такими нетривиальными приёмами, как передача данных через HTTP-заголовок User-Agent. Также мы фиксируем расширение географии атак: помимо российских целей, в поле зрения GOFFEE попала Беларусь. Всё это говорит о том, что группировка развивается и продолжает пополнять свой инструментарий, а также осваивать новые тактики. GOFFEE остаётся серьезной угрозой для организаций, и мы продолжим следить за её активностью», — поясняют аналитики разведки киберугроз (Cyber Threat Intelligence) в «Лаборатории Касперского».
