За атаками стоит группа GOFFEE
«Лаборатория Касперского» обнаружила новую кампанию кибершпионажа группы GOFFEE, направленную преимущественно на технологический сектор в России. В качестве приманки злоумышленники рассылают фишинговые письма с вложениями, замаскированными под повреждённые документы. По данным портала киберразведки Kaspersky Threat Intelligence Portal, группа существенно обновила свои методы и инструментарий — в частности, атакующие стали активно осваивать контейнерную инфраструктуру. Также расширилась география атак — среди мишеней есть организации в Беларуси.
Масштаб угрозы. ИТ-сектор входит в число наиболее атакуемых отраслей, наряду с государственными учреждениями и промышленностью. Он представляет особый интерес для злоумышленников, совершающих атаки на цепочки поставок ПО. По данным* внутреннего исследовательского центра «Лаборатории Касперского», 50% компаний в РФ работают более чем с 50 поставщиками ПО и аппаратного обеспечения, что значительно выше среднемирового уровня, а 14% — с более чем 100.
Приманка на «битые» файлы. Группа маскируетвложения под повреждённые документы — для этого злоумышленники подменяют часть кириллических букв на другие символы. На баннере в этих документах утверждается, что для корректного отображения текста необходимо «включить содержимое». На самом деле таким образом запускается цепочка заражения: файл подгружает удалённый шаблон с макросом, который выполняет вредоносную нагрузку. Чтобы убедить жертву разрешить макрос, атакующие прибегают к различным уловкам. Например, один из образцов был замаскирован под бухгалтерскую выгрузку из системы 1С. Злоумышленники при этом совершенствуют схему атаки: используют новые приманки и адреса для загрузки шаблонов.
Изменения в методах и инструментах. Обычно GOFFEE в значительной степени полагается на собственное вредоносное ПО, однако в данной кампании злоумышленники активно прибегали к ручной работе, а также опирались на общедоступные утилиты и легитимные инструменты. Среди наиболее заметных изменений — освоение группой контейнерной инфраструктуры. Эксперты «Лаборатории Касперского» обнаружили Mythic-агент группы внутри Linux-контейнера. Злоумышленники уже ранее атаковали Unix-среды, однако перенос операций непосредственно в контейнерную инфраструктуру встречается впервые.
«Запуск Mythic-агента в контейнерной среде, вероятнее всего, означает, что злоумышленники планируют использовать её как площадку для своих операций. Кроме того, группа использовала необычно богатый для неё набор процедур постэксплуатации — в том числе, с активной работой „руками”, опорой на легитимные утилиты и такими нетривиальными приёмами, как передача данных через HTTP-заголовок User-Agent. Также мы фиксируем расширение географии атак: помимо российских целей, в поле зрения GOFFEE попала Беларусь. Всё это говорит о том, что группировка развивается и продолжает пополнять свой инструментарий, а также осваивать новые тактики. GOFFEE остаётся серьезной угрозой для организаций, и мы продолжим следить за её активностью», — поясняют аналитики разведки киберугроз (Cyber Threat Intelligence) в «Лаборатории Касперского».
Полный отчёт опубликован на сайте securelist.ru.
Решения «Лаборатории Касперского», такие как Kaspersky Endpoint Detection and Response Expert и Kaspersky NGFW, успешно обнаруживают вредоносную активность в рамках описанных атак.
Для защиты от подобных угроз эксперты «Лаборатории Касперского» рекомендуют организациям:
- регулярно повышать уровень цифровой грамотности сотрудников. В этом помогут специализированные курсы или тренинги, например на онлайн-платформе Kaspersky Automated Security Awareness Platform. Для расширения навыков ИБ-специалистов подойдут продвинутые тренинги от экспертов «Лаборатории Касперского»;
- разработать план по реагированию на инциденты. Он должен включать в себя сценарии работы сотрудников при наступлении того или иного ИБ-события, список необходимых ресурсов, перечень применяемых инструментов, права и обязанности команды реагирования;
- предоставлять ИБ-специалистам возможность доступа к свежей информации о новейших тактиках, техниках и процедурах злоумышленников, например с помощью решений Threat Intelligence;
- установить надёжное защитное решение, которое автоматически будет отправлять подозрительные письма в спам, например Kaspersky Secure Mail Gateway;
- применять комплексные защитные решения, такие как Kaspersky Symphony, которые позволят выстроить гибкую и эффективную систему безопасности.
*Опрос «Цепная реакция: как защититься от кибератак через компрометацию подрядчиков и вендоров ПО» был проведён по всему миру, в нём принимало участие 1714 сотрудников компаний со штатом не менее 500 человек, в том числе топ-менеджеры, вице-президенты, тимлиды и старшие специалисты.
