Легітимні сайти залучаються до розповсюдження бекдора BadSpace

Кіберзлочинці розповсюджують шкідливе програмне забезпечення BadSpace через фальшиві оновлення Chrome. BadSpace може збирати інформацію про комп’ютер жертви, робити знімки екрана, виконувати команди й видаляти файли.

Згідно з останніми спостереженнями, хакери використовують скомпрометовані сайти для розповсюдження нового шкідливого програмного забезпечення під назвою BadSpace, яке маскується під оновлення браузера Google Chrome, про що повідомляє thehackernews.com.

Дослідники з G DATA виявили багатоетапну схему атаки:

Інфіковані сайти: зловмисники використовують зламані, зокрема створені на платформі WordPress, сайти для розміщення шкідливого коду.
Збирання інформації: під час першого відвідування зараженого сайту код збирає дані про пристрій користувача, його IP-адресу, браузер і розташування. Ця інформація потім передається на командно-контрольний сервер (C2) зловмисників.
Фальшиве оновлення: у відповідь на отримані дані сайт може відобразити спливне вікно з фальшивим оновленням браузера Chrome. Далі користувач завантажує або оновлення, яке насправді є шкідливим програмним забезпеченням BadSpace, або JavaScript-завантажувач, який потім самостійно завантажує та запускає BadSpace.
Функціонал BadSpace: шкідливе програмне забезпечення BadSpace здатне виконувати низку дій, як-от збирати інформацію про систему, генерувати знімки екрана, виконувати команди за допомогою cmd.exe, читати й записувати файли, видаляти заплановані завдання тощо.

Ця атака є частиною ширшої тенденції, за якої зловмисники використовують фальшиві оновлення браузера для розповсюдження шкідливого програмного забезпечення. Користувачам варто бути обережними та завантажувати оновлення браузерів лише з офіційних джерел.

Особливості атак із застосуванням бекдору

Використання легітимних сайтів: зловмисники використовують легітимні сайти з хорошою репутацією, щоб підвищити довіру жертви та систем захисту до розміщеного ними зловмисного вмісту.
Соціальна інженерія: зловмисники спонукають жертву завантажити зловмисний вміст за допомогою фальшивих сповіщень або вебсторінок. Для цього можуть використовуватися спливні сповіщення про оновлення браузера, як в описаному вище випадку.
Багатоетапність атаки: атака проводиться в кілька етапів і передбачає попередню компрометацію ресурсу, розміщення шкідливого вмісту, розгортання командно-контрольних серверів, етап соціальної інженерії та доставлення шкідливого програмного забезпечення.
Прихованість: зловмисники використовують різні техніки, щоб приховати свою діяльність і ускладнити виявлення й аналіз шкідливого програмного забезпечення. До поширених методів для таких цілей належать обфускація та шифрування. Рядки, імена бібліотек DLL Windows API та імена функцій Windows API шифруються за допомогою RC4: чотири байти зашифрованих даних, за якими йде чотирибайтовий ключ RC4, а потім — зашифровані дані. Для розшифрування використовуються скрипти IDA Python, Python.
Виявлення рішень безпеки: BadSpace здійснює динамічний аналіз параметрів системи для захисту від пісочниці. Програма підраховує кількість папок у каталозі %TEMP% і %APPDATA% та переконується, що вони перевищують певний поріг. Далі вона запитує реєстр і підраховує, як часто DisplayName з’являється як підрозділ SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall. BadSpace також перевіряє кількість процесорних ядер і глобальний стан пам’яті.

Атаки з бекдором зазвичай використовують примусові завантаження та зловмисну рекламу. Однак існують також інші схеми, результат яких є подібним, але метод доставлення дещо цікавішим. Компанія ReliaQuest у своєму звіті повідомляє, що виявила новий варіант кампанії ClearFake, яка обманом змушує користувачів копіювати, вставляти й вручну виконувати шкідливий код PowerShell, маскуючись під оновлення браузера.

Зловмисний сайт у таких випадках стверджує, що «щось пішло не так під час відображення вебсторінки», і радить відвідувачеві сайту встановити кореневий сертифікат, виконавши низку дій, серед яких — копіювання обфускованого коду PowerShell і його виконання в терміналі PowerShell.

Ознаки зараження сайту бекдором

Розпізнавання ознак зараження шкідливим програмним забезпеченням є важливим етапом для запобігання подальшим компрометаціям.

Однією з найочевидніших ознак зараження є поява неочікуваних запитів на оновлення браузера на ваших вебсторінках. Ці підказки зазвичай з’являються у вигляді спливних вікон або банерів із закликом оновити браузер до останньої версії з міркувань безпеки. На відміну від легітимних оновлень браузера, які зазвичай здійснюються через спеціальний вбудований механізм, ці фальшиві підказки спонукають користувачів завантажувати й запускати файли вручну.

Іншим показником зараження може бути наявність незнайомого коду JavaScript, впровадженого на ваш сайт. Зловмисники часто маскують шкідливий код, щоб запобігти виявленню, і його можна знайти в різних частинах вихідного коду сайту, зокрема в HTML-файлах, JavaScript-файлах і навіть у базі даних сайту. Регулярна перевірка коду сайту на наявність незнайомих або підозрілих сценаріїв допоможе виявити й видалити цей зловмисний код, перш ніж він завдасть шкоди.

Індикатори компрометації (IoCs)

Java Script (Web Infection)

[1] 2b4d7ed8d12d34cbf5d57811ce32f9072845f5274a2934221dd53421c7b8762b
[2] f3fed82131853a35ebb0060cb364c89f42f55e357099289ca22f7af651ee2c48
255cc818a2e11d7485c1e6cc1722b72c1429b899304881cf36c95ae65af2e566

JScript Droppers

[3] c64cb9e0740c17b2561eed963a4d9cf452e84f462d5004ddbd0e0c021a8fdabc
[4] 9786569f7c5e5183f98986b78b8e6d7afcad78329c9e61fb881d3d0960bc6a15
c7fc0661c1dabd6efd61eaf6c11f724c573bb70510e1345911bdb68197e598e7
2a311dd5902d8c6654f2b50f3656201f4ceb98c829678834edaeae5c50c316f5
0da87bff1a95de9fc7467b9894a8d8e0486dfd868c2c7305e83951babacde642

BadSpace

[5] 6a195e6111c9a4b8c874d51937b53cd5b4b78efc32f7bb255012d05087586d8f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C2

80.66.88.146
185.49.69.41
[6] uhsee[.]com
[7] kongtuke[.]com

Відновлення сайту після компрометації та запобігання подібним атакам у майбутньому

Оновіть облікові дані адміністратора: змініть пароль адміністратора та переконайтеся, що всі облікові записи — включно з базами даних, FTP і вебхостингом — використовують надійні й унікальні облікові дані.
Перевірте наявність зловмисних адміністраторів: шкідливе програмне забезпечення відоме тим, що може додавати зловмисних адміністраторів до скомпрометованих середовищ, щоб пізніше використовувати їх для доступу. Перевірте, чи немає серед облікових записів підозрілих користувачів.
Перевірте компоненти вашого сайту (плагіни, теми та програмне забезпечення): перегляньте всі теми, плагіни й інші сторонні компоненти, встановлені на вашому сайті. Простої деактивації недостатньо — видаліть усе, що не впізнаєте або більше не використовуєте.
Видаліть шкідливий код: визначте й очистьте всі заражені файли та записи бази даних. Використання резервної копії сайту й систем моніторингу цілісності може стати в пригоді, оскільки загальна кількість файлів, заражених шкідливою програмою, може бути значною.
Зловмисники ретельно ховають шкідливий код серед легітимних файлів, і тому очищення великої кількості заражених файлів вручну може бути надзвичайно виснажливим. У такому разі, якщо у вас немає резервної копії сайту, подумайте над використанням автоматизованого рішення для очищення заражених даних.
Оновіть все програмне забезпечення вашого сайту: оновлення є одним із найпростіших способів зменшити ризики, тому постійно стежте за актуальністю версії вашої системи керування вмістом сайту (Content Management System, CMS) і всіх інших компонентів сторонніх розробників. До моменту виявлення вразливості (у результаті співпраці з дослідниками безпеки) постачальники вразливої теми або плагіну вже можуть випустити оновлення (патч) безпеки. Але не зволікайте, адже зловмисне програмне забезпечення дуже швидко додає нові вразливості у свій інструментарій.
Налаштуйте фаєрвол вебзастосунків (Web Application Firewall, WAF): розгляньте можливість використання фаєрволу для вашого сайту, який захистить його від більшості відомих атак і зможе частково стримати відомі вразливості, доки ви не оновите програмне забезпечення.

Поради користувачам від фахівців DigVel

Будьте обережні, натискаючи на посилання в електронних листах або на сайтах.
Підтримуйте своє програмне забезпечення в актуальному стані, зокрема ваш браузер.
Використовуйте рішення безпеки, яке може виявляти й блокувати шкідливий код JavaScript.
Стежте за новинами про найновіші кіберзагрози й тактики зловмисного програмного забезпечення.

Блог