Хакери APT28 використовують вразливість Windows Print Spooler

Російська група кіберзловмисників APT28 випустила GooseEgg — потужну шкідливу програму, що експлуатує вразливість Windows Print Spooler від Microsoft. Вони використовують свій інструмент посткомпрометації із середини 2020 року.

Ландшафт загроз кібервійни знову опинився в центрі уваги, коли на сцену повернувся сумнозвісний суб’єкт загрози, пов’язаний із російським урядом, — група APT28, також відома як Fancy Bear або Forest Blizzard. Їхня нова зброя — підступний експлойт, спрямований на вразливість у компоненті Microsoft Windows Print Spooler, який створює умови для розгортання складного спеціального шкідливого програмного забезпечення GooseEgg, про що повідомляє thehackernews.com.

Зброя APT28

Це викриття, оприлюднене командою з розвідування загроз Microsoft, проливає світло на інструмент посткомпрометації, який учасники APT28 використовували щонайменше з червня 2020 року, а можливо й раніше. Використовуючи наразі виправлену вразливість (CVE-2022-38028), GooseEgg давав зловмисникам змогу підвищувати привілеї й отримувати несанкціонований доступ до цільових систем. Про вразливість, яку Microsoft визнала й усунула в жовтні 2022 року, стало відомо за сприяння Агентства національної безпеки США (NSA).

Описуючи методи роботи Forest Blizzard, Microsoft пояснила, як група APT28 застосувала GooseEgg для використання вразливості Windows Print Spooler. Змінивши файл обмежень JavaScript, зловмисники організували виконання шкідливих команд із дозволами на рівні SYSTEM. Попри нешкідливий вигляд програми запуску, GooseEgg приховує в собі набагато підступніші можливості. Уміючи створювати додаткові застосунки з підвищеними привілеями, APT28 може безперешкодно виконувати подальші завдання, від віддаленого виконання коду до обходження мережі.

Походження Forest Blizzard

Витоки Forest Blizzard можна простежити до підрозділу 26165 військової розвідки Російської Федерації (ГРУ). Ця підтримувана Кремлем хакерська група, що існує вже майже 15 років, є грізною загрозою у світі кібершпигунства. Її зусилля здебільшого зосереджені на збиранні розвідувальних даних, що часто узгоджується із зовнішньополітичним курсом російського уряду.

Однак амбіції APT28 не обмежуються використанням вразливостей Windows Print Spooler. Протягом останніх місяців зловмисники експлуатували вразливості підвищення привілеїв у Microsoft Outlook і помилки виконання коду у WinRAR. Така адаптивність підкреслює їхню гнучкість і вміння швидко інтегрувати загальнодоступні вразливості до власного арсеналу.

Основним завданням Forest Blizzard є отримання підвищеного доступу до цільових систем і викрадення облікових даних і конфіденційної інформації. GooseEgg, їхня зброя, зазвичай розгортається разом із пакетним скриптом, що спрощує виконання шкідливих команд. Функціональність двійкового файлу охоплює широкий спектр операцій, від запуску експлойтів до виконання динамічно приєднуваних бібліотек (DLL) або виконуваних файлів із підвищеними привілеями.

Динаміка ландшафту загроз на рівні держав

З розвитком ландшафту кібербезпеки на горизонті з’являються нові загрози. Нещодавні висновки IBM X-Force виявили фішингові атаки, організовані угрупуванням Gamaredon і націлені на Україну та Польщу. Ці атаки використовують нові ітерації шкідливого програмного забезпечення GammaLoad, кожна з яких є потужнішою за попередню. Завдяки складній інфраструктурі, що охоплює кілька каналів, зокрема Telegram і Filetransfer.io, можливості зловмисника зростають.

Поява GooseEgg свідчить про постійну загрозу, яку становлять державні кіберзловмисники в цифровій сфері. Оскільки APT28 продовжує вдосконалювати свою тактику й розширювати свої можливості, організації повинні залишатися пильними, зміцнюючи свій захист, щоб запобігти складним кіберзагрозам.

Бажаєте захистити свій бізнес від шкідливого програмного забезпечення? Зверніться до DigVel!