Инцидент #Гуфи любит троицу

Из того, что знали на момент начала атаки: НЕ были доступны сервер EDR (on — premise) и WinLogBit^*. Причина простая – беспилотная атака, которая отрезала организацию от интернета. Поэтому, все инциденты, которые происходили – пришли с трехчасовой задержкой…

Доподлинно известно, что был скомпрометирован доступный снаружи MS SQL сервер. Однако, на тот момент аналитики не знали, какая версия у данного ПО и какие уязвимости используют злоумышленники. Знали точно, что было доставлено три экземпляра ВПО.

Расследование

Аналитики успели провести первичный анализ и собрать триаж^** из которого стало понятно, что злоумышленники включили параметр xp_cmdshell^*** на MS SQL сервере.

Успели провести первичную разведку хоста (установленное ПО) и пользователей, успели закрепиться в системе (создали вредоносную службу). Команда RT Protect со своей стороны увидела крайне длинную цепочку выполнения ВПО. Кроме того, специалисты всё ещё не понимали, как нарушители включили параметр xp_cmdshell.

Злоумышленники выполнили несколько странных curl запросов со стороны скомпрометированного MS SQL сервера к непонятным внешним IP адресам. Скачали вредоносный скрипт и далее запустили длинную цепочку, состоящую минимум из трёх процессов, которая привела к созданию файла sqlhelper.exe — инструмента для повышения привилегий, изначально называемого PrintSpooler, который модифицировала бывшая служба печати Microsoft.

Что успели сделать злоумышленники: загрузили вредоносную активность (как минимум одну) в виде исполняемого exe файла, выполнили её и через дополнительную нагрузку, подгрузили ещё один файл sqlhelper.exe. В рамках MS SQL сервера привилегии были повышены до уровня System. Аналитики отреагировали и сервер с БД были переведены в режим сетевой изоляции.

Финал

По данным RT Protect SOC данный заказчик стал последним в цепочке атак. Всего атакуемых было шестнадцать и все схожи между собой: все используют специализированное ПО для аэронавигации. О том, что ПО было скомпрометировано и атакованы были только те заказчики, сервера которых находятся на территории РФ, чуть позже сообщили сами разработчики продукта. Они оперативно выпустили патч и специалисты RT Protect смогли закрыть уязвимость.

Атаку смогли остановить за шесть часов, что само по себе является отличным результатом, учитывая, что первые три часа инциденты не приходили по причине физического отсутствия связи.

А почему Гуффи и зачем троица?

Откуда берутся такие названия? Возможно, кто – то просто ещё не повзрослел. С подобными APT группировками всегда всё не просто. Некоторые пытаются скрыть себя за чужими IP адресами, другие оставляют свою визитную карточку (например, Anonimus), а кто-то просто пользуется теми инструментами, к которым привыкли. Это можно объяснить обычной человеческой ленью. Как и в данном случае с группировкой “Goffee”(Paper Werewolf), которые используют троицу вредоносных утилит:

• Java скрипт (запускает вредоносные PowerShell скрипты для закачки ВПО Sqlhelper)
• Sqlhelper aka PrintSpoofer (повышает привилегии используя уязвимость службы печати Microsoft)
• .Net Dropper (маскируется в системе под легитимное ПО, скачивает нужную вредоносную нагрузку)

С данной APT группировкой команда RT Protect столкнулась во второй раз и не специалисты не могли не отметить, как она эволюционирует и улучшает свои инструменты. Например, последний файл из троицы теперь проверяет, не находится ли он в песочнице для сокрытия своего присутствия.

Эксперты отслеживают “Goffee”(Paper Werewolf) с начала 2022 года. Ключевая особенность: группировка целенаправленно атакует исключительно организации в России. Среди жертв — компании из медиасферы, телекоммуникационного и строительного секторов, государственные учреждения, энергетический сектор. Исследователи фиксировали случаи, когда из-за действий злоумышленников в компаниях полностью останавливались бизнес-процессы. К сожалению, выводы не утешительны, всё больше APT группировок работает конкретно против России.

_____________________________________

* WinLogBit – утилита для сбора системных логов с ОС Windows.

** Когда говорят, что «собрали триаж», имеют в виду первичный разбор потока оповещений (алертов) от средств защиты — SIEM, EDR, почтового шлюза, WAF и т. п.

*** xp_cmdshel – это параметр ) на MS SQL серверах, включение которого позволяет выполнять удалённые команды на целевой конечной точке. По умолчанию данный параметр отключен, но в данном случае он был включён злоумышленниками через определённую уязвимость.