Бухгалтер компании-жертвы получает письмо под названием «Акт бухгалтерской сверки за Q4.2021», содержащее вложение с вредоносным ПО. История закончится хорошо, если это ВПО известно специалистам по кибербезопасности: бухгалтер откроет документ, но антивирус увидит ВПО и заблокирует его запуск.

Гораздо интереснее, когда ВПО не содержит вредоносной нагрузки (при успешном закреплении в системе оно получит его с командного сервера злоумышленников позже). В таком случае необходимо понять, как этот незнакомый документ будет себя вести. Для таких целей используются решения класса «песочница», позволяющие проверить объект или ссылку на объект в изолированной среде. На рынке достаточно много песочниц от разных производителей, но у всех есть особенности, влияющие на достоверность их вердикта.

Злоумышленники эти особенности знают и активно используют средства для обхода песочниц и детектирования попадания в песочницу.

В первом случае хакеры присылают запароленный архив, предлагая для его открытия использовать сложный пароль, содержащийся даже не в этом письме, а в последующей цепочке писем. Условный бухгалтер получает письмо с актом бухгалтерской сверки в запароленном архиве, а следующим письмом или через одно-два письма ему приходит пароль для открытия. Единичные песочницы, например Threat Hunting Framework Polygon от Group-IB, проверяют последующую цепочку писем, чтобы выдать достоверный вердикт по вложению в первом письме. В остальных случаях песочница не может открыть архив и по истечении времени делает вид, что письмо не содержит ВПО, и спокойно передает его бухгалтеру.

Также злоумышленники размещают в письме ссылку, якобы ведущую на акт бухгалтерской сверки, и присылают письмо в нерабочее время. При этом в момент попадания письма в песочницу ссылка пустая, поэтому песочница выдает вердикт «письмо легитимное» и пропускает его в почтовый ящик бухгалтера. Когда же бухгалтер придет на работу, злоумышленник разместит по этой ссылке ВПО, которое жертва благополучно скачает. К сожалению, не все песочницы перепроверяют пустые ссылки, при том что только перепроверка позволит выдать достоверный вердикт (THF Polygon от Group-IB выполняет перепроверку).

Если ВПО все-таки попало в песочницу, то его задача — понять, что оно находится в изолированной среде (на настоящей, а эмулированной инфраструктуре) и не проявлять себя как вредоносный объект (иначе не удастся заразить устройство). Для этого современное ВПО проверяет параметры системы, реагируя на странные ситуации, например когда компания российская, клавиатура почему-то только английская, а IP находится на восточном побережье США. Сюда же относятся ситуации, когда рабочая станция технически слабая даже для корпоративного компьютера (жесткий диск на 20 ГБ, одноядерный процессор, минимум оперативной памяти). Задача песочницы высокого уровня — полностью соответствовать рабочим станциям в инфраструктуре заказчика.

С учетом работы на удаленке, многие заказчики рассматривают облачную защиту почтового трафика. При выборе такого решения важно убедиться, что оно защищает не только от известных угроз, но и способно выявлять неизвестные, противодействуя средствам обхода песочницы, которые мы рассмотрели выше. Одно из таких решений — Group-IB Atmosphere. Оно в режиме реального времени анализирует и блокирует письма, содержащие вредоносные объекты и ссылки:

Кстати, если вы скептически относитесь к возможности атаки через электронную почту — попробуйте бесплатный тест для оценки ее защищенности. Мы создали специальный тест с говорящим названием Trebuchet (требушет — это средневековая метательная машина гравитационного действия для осады городов, которая пробивает защиту). В рамках теста ваша электронная почта должна будет выдержать более 40 сценариев атак, учитывающих техники и тактики злоумышленников, использовавшиеся на февраль 2022 года.

Сотрудник компании во время обеда или командировки решил посмотреть фильмы в интернете, ввел в поисковике «смотреть кино бесплатно без регистрации и смс», кликнул по первой же ссылке, обнаружил кучу новинок в отличном качестве и для просмотра решил скачать проигрыватель с этого сайта. Для защиты от данного вектора атаки необходимы средства анализа трафика. Их задача — выявлять аномалии в трафике на периметре (подключение к интернету) и внутри сети (взаимодействие между рабочими станциями). Продвинутые средства анализа трафика (такие как THF Sensor от Group-IB) отслеживают даже те подозрительные ситуации, когда подключение происходит к нескомпрометированному сайту.

Вы наверняка слышали про случаи, когда злоумышленники раскидывали флешки с логотипом компании-жертвы возле офиса этой компании и оставляли их на столе в корпоративной столовой. Расчет в данной ситуации на то, что сотрудник поднимет флешку, принесет в офис и вставит в свой рабочий компьютер, заразив инфраструктуру.

Хакерская группа FIN7 отправляла компаниям в США посылки с вредоносными USB-устройствами. Когда получатель подключал USB-накопитель к своему компьютеру, хакеры получали административный доступ к системе. Затем участники FIN7 использовали различные инструменты и запускали вымогательское ПО BlackMatter и REvil в скомпрометированной сети.

Конечно, вы можете сказать, что некоторые компании до сих пор используют блокировку USB-портов как средство защиты, но данный способ усложняет многие бизнес-процессы.

Для защиты от атаки через рабочие станции необходимы решения класса EDR (Endpoint Detection & Response), некоторые из которых (например, THF Huntpoint от Group-IB) позволяют не только блокировать известное ВПО, но и отслеживать аномальные активности на рабочих станциях, связывая разбросанные по времени события в цепочку и на основе этого выдавая вердикт о вредоносной активности.

Специалисты по информационной безопасности регулярно наблюдают ситуации, когда активы компании недостаточно защищены и этим пользуются злоумышленники. В среде хакеров есть даже специальные подразделения, которые мониторят интернет-пространство на предмет незащищенных активов, а потом продают к ним доступ через подобные ресурсы:

Данный сайт — лишь один из примеров продажи доступа к выделенным серверам. Есть множество подобных ресурсов, специализирующихся на продаже доступов к серверам с открытыми портами 3389 (для RDP) и 443 (для HTPPS), а не только 25- и 80-портами, как на изображении.

При этом, как вы видите, стоимость доступа в районе $20, и в итоге мы приходим к очень простой схеме вовлечения, когда злоумышленник, не обладая никакими техническими навыками, берет в аренду ВПО и внедряет его в инфраструктуру жертвы, заплатив за это сумму, несоизмеримую с выкупом, который он благодаря этому получит.

Так как компании постоянно создают новые активы (зачастую вынужденно из-за перевода сотрудников на удаленку), необходим постоянный мониторинг защищенности инфраструктуры. Это возможно через решения нового класса External Attack Surface Management, которые позволяют отслеживать изменения в инфраструктуре и показывать существующие уязвимости и проблемы. Решения высокого уровня данного класса (как Group-IB AssetZero) еще и дают объективную оценку защищенности и рекомендации по ее улучшению.