Хакери керують шкідливими програмами через Google Calendar

Як повідомляє pcmag.com, компанія Google опублікувала попередження щодо своєї служби Google Calendar, поділившись припущенням, що хакери можуть використовувати її для прихованого надсилання команд шкідливому програмному забезпеченню, установленому на комп’ютері.

Ця загроза стосується інфраструктури «керування та контролю» (command and control, C2), яку хакери створюють для зв’язку зі своїм шкідливим програмним забезпеченням після зараження ІТ-системи. У багатьох випадках зловмисники надсилають команди своєму ПЗ через C2-сервер. Однак у деяких випадках вони можуть маскувати ці дії, використовуючи звичайні служби для розміщення команд своїм шкідливим програмам.

Раніше це полягало в розміщенні C2-команд на економічно вигідних або безкоштовних хмарних сервісах, як-от Dropbox, Amazon Web Services, Google Drive і Gmail. У такий спосіб хакери можуть запобігти виявленню своєї діяльності антивірусними програмами та фахівцями з кібербезпеки, оскільки так C2-команди для шкідливого програмного забезпечення виглядають як нормальний трафік.

Компанія Google попереджає, що її власна календарна служба може використовуватися з цією метою. У звіті, де обговорюються потенційні загрози, Google звертає увагу на метод доказу концепції, опублікований дослідником кібербезпеки, відомим за псевдонімом MrSaighnal. Ця методика використовує Google Calendar як систему керування та контролю.

Доказ концепції під назвою Google Calendar RAT (GCR) полягає в розміщенні C2-команд в описі події в записі Google Calendar. Потім шкідливе програмне забезпечення хакера може періодично підключатися до облікового запису Google Calendar, щоб отримати й виконати ці команди на зараженому комп’ютері.

«За словами розробника, GCR взаємодіє виключно через звичайну інфраструктуру, якою керує Google, що ускладнює виявлення підозрілої активності», — йдеться у звіті Google.

На щастя, спеціалісти Google поки що не помітили жодного хакера, який би використовував Google Calendar для розміщення С2-команд. Однак у звіті згадується, що багато учасників поділилися публічним доказом концепції на підпільних форумах, а це свідчить про постійний інтерес до зловживань хмарними сервісами.

У відповідь на цю потенційну загрозу у звіті Google пропонуються деякі стратегії пом’якшення наслідків, хоча простого рішення не існує. Натомість компанія рекомендує організаціям ретельно моніторити свої мережі на наявність незвичної активності. Це зокрема означає встановлення «базових показників мережевого трафіку», які допоможуть фахівцям із кібербезпеки виявити аномальну поведінку, коли така з’явиться.