Polacy nie gęsi… i swoje wyrafinowane ataki typu spear phishing mają

Zespół ekspertów od cyberbezpieczeństwa z zespołu CERT Polskaprzeanalizował odkryte przez Zaufaną Trzecią Stronę zagrożenie,będące jedną z bardziej jak dotąd wyrafinowanych kampaniispearfishingowych w naszym kraju. Wymierzona przede wszystkimprzeciwko kancelariom adwokackim operacja łączyła sprytnąinżynierię społeczną ze szkodnikiem Smoke Loader, rozprowadzanymjako wtyczka pakietu Microsoft Office.

Adam Golański

27 sierpnia 2015, 22:10

Zaufana Trzecia Strona opisała ciekawą historię, któradotknęła pewną kancelarię prawniczą. Możecie się z niązapoznać wcałości na łamach tego popularnego bloga o bezpieczeństwie,tu streścimy jedynie najważniejsze jej punkty. Otóż po krótkiejwymianie korespondencji między napastnikiem a ofiarą, była ona wprzekonujący sposób proszona o kliknięcie linku prowadzącego doważnych biznesowych dokumentów.

Po otworzeniu adresu przez przeglądarkę tę stronę pojawiałysię sensownie wyglądające komunikaty o ładowaniu dokumentuMicrosoft Office, ale tuż przy samym końcu dochodziło do „awarii”,w wyniku której wyświetlany był komunikat o koniecznościzainstalowania wtyczki do przeglądarki, służącej do wyświetlaniadokumentów Microsoft Office. Instalator był pobierany z ciekawiewyglądającej domeny update.microsoftcenter.eu – i rzeczywiścieodpowiadał za instalację wtyczki, ale nie tylko. Pod koniec procesuinstalacyjnego uruchamiał aplikację o nazwie doneapp.exe,przenoszącą szkodnika Smoke Loader.

Komunikat przekonujący użytkownika do pobrania uzłośliwionej wtyczki

Szkodnik ten ma spore możliwości, potrafi m.in. przekierowaćżądania DNS na złośliwy serwer, może też podsłuchiwaćaktywność użytkownika. Jak ustalilieksperci CERT-u, potrafi przetrwać ponownie uruchomienie systemu,dodając sobie klucz do rejestru Windows i instalując się pod domyślną ścieżką danych aplikacji w katalogu o losowejnazwie, jako plik .exe o nazwie takiej sam jak wygenerowana dlakatalogu.

Po uruchomieniu SmokeLoader próbuje nawiązać komunikację zsiecią, sprawdzając możliwość rozwiązania domeny msn.com, apotem łączy się z innymi domenami znalezionymi we wpisach dorejestru, by ukryć w ten sposób swoją realną aktywność. Tąaktywnością jest połączenie się z serwerem dowodzenia i kontroli(w momencie badania serwer taki działał pod adresem cannedgood.eu),przesłanie mu informacji o zarażonej maszynie i oczekiwanie nadalsze zadania, w szczególności otrzymanie nowego ładunku zezłośliwym kodem.

W analizowanym przypadku szkodnik wykorzystywał teżwtyczkę-rootkita, mającego ukryć nie tylko jego działalność,ale nawet same wpisy w Rejestrze Windows i stworzone pliki w systemieplików, oraz wtyczkę do sfałszowania wyników funkcji związanychz rozwiązywaniem domen. Eksperci CERT-u podkreślają, że całaoperacja była dobrze przygotowana. Podobnie uważają autorzyZaufanej Trzeciej Strony, pisząc:

Trzeba przyznać atakującemu, że wykonał kawał roboty. Napotrzeby tej kampanii zarejestrował kilka nie powiązanych ze sobądomen, które umieścił w różnych serwerowniach na całym świecie.Stworzył wiadomości poczty elektronicznej, dbając o ichadekwatność i wiarygodność w oczach odbiorców (nasz adwokat niewidział w nich niczego odbiegającego od normy). Posługiwał się wkorespondencji dość fachowym językiem. Serwery skonfigurował tak,by zmaksymalizować prawdopodobieństwo, że jego wiadomość dotrzedo odbiorcy. Kampanię prowadzi po cichu – nigdzie w sieci niewidać do tej pory jej śladów. Sam plik EXE też jest dośćniecodzienny – jest standardowym instalatorem InstallShield, któryzostawia na komputerze ofiary wtyczkę Microsoft Office do Firefoksaoraz oczywiście dodatkowe elementy.

Wygląda na to, że użyte w ataku oprogramowanie zostałozakupione na jakimś hakerskim forum – w Sieci już rok temu możnabyło trafić na doniesienia o zastosowaniu SmokeLoadera. Pozostaje wtej sytuacji liczyć tylko na czujność użytkowników, gdyżwiększość programów antywirusowych do dziś kiepsko sobie radzi zwykryciem i zablokowaniem tego szkodnika.

Adam Golański