Oprogramowanie BEARDSHELL: nowy rozdział w szpiegostwie cyfrowym

Kolejne zagrożenie na arenie cybernetycznej

Na scenie pojawił się kolejny backdoor znany jako BEARDSHELL , co stanowi kolejny wyrafinowany ruch ze strony powiązanej z Rosją grupy cyberprzestępczej APT28 . Władze Ukrainy powiązały to złośliwe oprogramowanie z ukierunkowaną kampanią cybernetyczną wymierzoną w infrastrukturę rządową, co pokazuje, w jaki sposób współczesne cyberataki płynnie łączą inżynierię społeczną, ukryte metody dostarczania i wielowarstwowe struktury złośliwego oprogramowania.

Czym jest BEARDSHELL?

BEARDSHELL to złośliwy program napisany w C++ , który służy jako zdalne tylne wejście. Po zainstalowaniu na komputerze ofiary może uruchamiać skrypty PowerShell na żądanie i po cichu wysyłać wyniki z powrotem do zdalnego serwera za pomocą usługi udostępniania plików Icedrive. Ten poziom funkcjonalności pozwala atakującym na utrzymywanie stałej obecności w zainfekowanych systemach, jednocześnie gromadząc informacje wywiadowcze bez wzbudzania natychmiastowego podejrzenia.

Odkryty przez ukraiński Computer Emergency Response Team (CERT-UA) podczas śledztwa między marcem a kwietniem 2024 r. BEARDSHELL został znaleziony działający obok oddzielnego narzędzia przeznaczonego do robienia zrzutów ekranu, nazwanego SLIMAGENT. Razem te narzędzia wskazują na jasny zamiar: ciche monitorowanie i wyodrębnianie danych z zainfekowanych punktów końcowych.

Sygnał, makra i złośliwe oprogramowanie: nietypowy łańcuch dostaw

Być może to, co czyni tę kampanię bardziej alarmującą, to jej nowatorski mechanizm dostarczania. Zamiast typowych wiadomości phishingowych, atakujący użyli Signal , bezpiecznej platformy do przesyłania wiadomości, aby wysyłać dokumenty Microsoft Word z włączonymi makrami — niekonwencjonalne podejście, które omija tradycyjne filtry bezpieczeństwa poczty e-mail. Dokument, o którym mowa, oszukańczo nazwany „Акт.doc”, zawierał osadzone instrukcje, które ostatecznie instalowały wiele ładunków złośliwego oprogramowania w systemie docelowym.

Po otwarciu dokumentu, dwa pliki zostają usunięte: złośliwy plik DLL o nazwie ctec.dll i plik obrazu windows.png. Plik DLL jest ustawiony na uruchamianie za każdym razem, gdy uruchamiany jest Eksplorator plików systemu Windows, ładując złośliwy kod powłoki z pozornie nieszkodliwego pliku PNG. Ten kod powłoki inicjuje rezydujący w pamięci framework COVENANT , który odgrywa kluczową rolę w pobieraniu i uruchamianiu tylnego wejścia BEARDSHELL.

Dlaczego to ma znaczenie: szersze implikacje

Pojawienie się BEARDSHELL nie jest odosobnionym wydarzeniem. Jego obecność wskazuje na uporczywe i adaptacyjne taktyki stosowane przez aktorów zagrożeń w celu infiltracji i nadzoru krytycznych infrastruktur cyfrowych. Poprzez ukrywanie złośliwego oprogramowania w plikach multimedialnych i wykorzystywanie zaufanych platform, takich jak Signal, do dystrybucji, APT28 demonstruje zmianę w kierunku wysoce unikających technik.

Co więcej, operacje te nie ograniczają się do teoretycznego ryzyka. Systemy poczty e-mail rządu Ukrainy zostały podobno naruszone poprzez połączenie inżynierii społecznej i wykorzystania luk w powszechnie używanych platformach poczty internetowej, takich jak Roundcube , Horde i Zimbra. Złośliwe oprogramowanie nie tylko umożliwiało nieautoryzowany dostęp, ale także umożliwiało atakującym ciche wykradanie danych, takich jak e-maile, książki adresowe i informacje o sesjach.

Rzut oka na podręcznik atakujących

To, co czyni tę kampanię szczególnie wyrafinowaną, to wykorzystanie wielu warstw i narzędzi do uzyskiwania, utrzymywania i eskalacji dostępu. Oprogramowanie BEARDSHELL nie działa w izolacji — jest częścią większego łańcucha obejmującego kilka innych złośliwych komponentów. Po uzyskaniu początkowego dostępu, zazwyczaj za pośrednictwem dokumentu Word lub wiadomości e-mail phishingowej, atakujący wdrażają skrypty, które manipulują ustawieniami rejestru systemu Windows, wykorzystują luki w zabezpieczeniach cross-site scripting (XSS), a nawet wstrzykują złośliwe polecenia SQL w celu zbierania danych.

Atakujący wykorzystują również wiele exploitów opartych na JavaScript, z których każdy ma określony cel. Jedna z wersji przekierowuje przychodzące wiadomości e-mail do serwera innej firmy, inna zbiera informacje z bazy danych, a trzecia uruchamia dowolne polecenia na zainfekowanych serwerach pocztowych. Te taktyki podkreślają celowe, dobrze zorganizowane działania mające na celu pozostanie osadzonym w cyfrowym ekosystemie celu.

Jak wyprzedzić zagrożenie: co można zrobić

Chociaż metody BEARDSHELL są złożone, strategie obronne nie muszą takie być. CERT-UA zaleca monitorowanie ruchu do domen powiązanych z tą kampanią, w szczególności app.koofr.net i api.icedrive.net, jako pierwszy krok w wykrywaniu oznak zagrożenia. Utrzymywanie systemów w stanie aktualnym, stosowanie poprawek do znanych luk w oprogramowaniu pocztowym i domyślne wyłączanie wykonywania makr to kluczowe praktyki obronne.

Organizacje są również zachęcane do szkolenia personelu w zakresie rozpoznawania oznak inżynierii społecznej, zwłaszcza nietypowych żądań dokumentów lub metod komunikacji poza pasmem, takich jak Signal. W erze, w której najsłabszym ogniwem jest często człowiek, edukacja pozostaje jedną z najsilniejszych obron.

Rozwijające się pole bitwy cybernetycznej

BEARDSHELL reprezentuje rodzaj wielowątkowej, ukrytej operacji cybernetycznej, która staje się coraz bardziej powszechna w nowoczesnych kampaniach szpiegowskich. Podczas gdy jej wyrafinowanie techniczne jest godne uwagi, podkreśla ona również szersze napięcia geopolityczne rozgrywające się w cyberprzestrzeni. Pozostawanie poinformowanym, czujnym i proaktywnym pozostaje najlepszą obroną przed zagrożeniami, które nadal ewoluują tak szybko, jak technologia, na której polegamy.