Positive Technologies рассказала о новом бэкдоре MataDoor и хакерской группировке Dark River

Компания Positive Technologies (PT) провела расследование, в рамках которого обнаружила новую хакерскую группировку Dark River. Она представляет собой оператора вредоносного программного обеспечения (ВПО), целенаправленно атакующего предприятия российского оборонно‑промышленного комплекса.

По словам экспертов, во вредоносном ПО Dark River проработаны на высоком уровне архитектура и транспортная система, позволяющие бэкдору MataDoor незаметно действовать в скомпрометированной инфраструктуре в течение долгого времени с целью шпионажа и кражи конфиденциальной информации.

Специалисты PT впервые подробно исследовали внутреннее устройство и механизмы работы сложного модульного бэкдора MataDoor, обнаруженного при расследовании инцидента в 2022 году. Dark River тщательно выбирают своих жертв и действуют точечно. Сейчас известно несколько случаев применения MataDoor в кибератаках, все они были нацелены на крупные организации, связанные с оборонно‑промышленным комплексом. Бэкдор маскируется под имена легального ПО, установленного на заражённых устройствах, ряд образцов ВПО имеет действительную цифровую подпись. Для усложнения обнаружения зловреда его разработчики использовали различные виды утилит‑упаковщиков, скрывающих вредоносный код.

По словам старшего специалиста отдела исследования угроз ИБ Positive Technologies Максима Андреева, анализ кода показывает, что в разработку этого инструмента были вложены серьёзные ресурсы. Это вредонос с глубокой индивидуальной разработкой в плане транспорта, скрытности и архитектуры. Максим Андреев заявил, что Dark River не стала использовать коробочные решения, многие протоколы намеренно реализованы разработчиком самостоятельно. Большая и сложная транспортная система ВПО позволяет гибко настраивать коммуникацию с командой оператора, с сервером, чтобы оставаться скрытым и незамеченным. Найденное ВПО может действовать даже в логически изолированных сетях, вытаскивать и передавать данные откуда угодно.

Как считают специалисты PT, внедрение бэкдора начинается с фишингового письма, к нему злоумышленники прикрепляют документ в формате DOCX, посвящённый сфере деятельности атакованного предприятия. Особенность бэкдора заключается в том, что он побуждает получателя включить режим редактирования документа, открыть вложение недостаточно. В некоторых атаках киберпреступники использовали взломанные почтовые ящики и могли прибегать к социальной инженерии.

Похожие письма, содержащие документы с эксплойтами для уязвимости CVE-2021–40 444, рассылались на российские предприятия ОПК в августе‑сентябре 2022 года. Например, злоумышленники намеренно использовали в тексте документа неконтрастный шрифт. Чтобы его прочитать, пользователь менял цвет шрифта, запуская режим редактирования. Одновременно с этим происходила загрузка и выполнение вредоносной полезной нагрузки с контролируемого киберпреступниками ресурса. Для защиты корпоративных систем от внедрения бэкдора MataDoor эксперты ИБ рекомендуют:

— принимать проактивные меры защиты;

— использовать различные песочницы, позволяющую выявлять сложное ВПО с помощью анализа поведения файлов в виртуальной среде;

— использовать системы поведенческого анализа сетевого трафика, обнаруживающие присутствие злоумышленника в защищаемой инфраструктуре благодаря индикаторам компрометации;

— придерживаться стандартных правил кибергигиены, включая осторожность при чтении электронных писем и сообщений в мессенджерах и социальных сетях, исключить переход по сомнительным ссылкам и не открывать подозрительные вложения.

— тщательно оценивать нетипичные для переписок в компании вложения, верна ли подпись, мог ли написать отправитель и насколько его вопрос в компетенциях сотрудников компании.