Как MURKYTOUR Backdoor нацеливается на соискателей работы

В октябре 2024 года началась целенаправленная и искусно замаскированная киберкампания, в ходе которой было обнаружено использование скрытого бэкдора, известного как MURKYTOUR . Операция, раскрытая фирмой по анализу угроз Mandiant, подчеркивает постоянно меняющуюся тактику государственных субъектов и их сосредоточенность на обмане как на основном инструменте на цифровом поле битвы.

Кампания была приписана группе, идентифицированной как UNC2428, киберпреступнику, связанному с иранскими интересами. Их подход был не просто очередным фишинговым письмом — это была тонкая и глубоко обманчивая стратегия социальной инженерии, представляющая фальшивую возможность трудоустройства, чтобы заманить ничего не подозревающих людей, особенно в Израиле.

Что такое MURKYTOUR?

MURKYTOUR — это бэкдор, тип вредоносного ПО, который позволяет осуществлять несанкционированный доступ и управление устройством без ведома пользователя. В этом случае он был установлен без ведома после того, как жертвы занялись тем, что выглядело как законный процесс подачи заявления на работу. Злоумышленники выдавали себя за авторитетную израильскую оборонную фирму Rafael, предлагая соискателям предоставить свои учетные данные через поддельную онлайн-платформу.

Когда жертвы загружали и запускали установщик, замаскированный под «RafaelConnect.exe», им показывали профессионально выглядящий интерфейс, разработанный для завоевания их доверия. Это приложение, на самом деле подставной установщик, известный как LONEFLEET , просило пользователей ввести личную информацию и загрузить резюме. Однако за кулисами другой инструмент под названием LEAFPILE запускал скрытое развертывание MURKYTOUR, предоставляя злоумышленникам долгосрочный доступ к компьютеру жертвы.

Почему это важно?

Бэкдор MURKYTOUR — это не просто еще один вредоносный код, это символ того, как кибершпионаж стал более психологически сложным. Вместо того чтобы использовать тактику грубой силы, такие злоумышленники, как UNC2428, используют социальную инженерию, манипулируя людьми, заставляя их совершать действия, которые они обычно не совершают, чтобы незаметно взломать системы.

Последствия такой тактики широкомасштабны. Нацеливание на отдельных лиц с помощью приманок для работы позволяет злоумышленникам проникать внутрь чувствительных организаций, обманывая сотрудников или соискателей, связанных с этими сетями. Получив доступ, злоумышленники могут собирать разведданные, красть конфиденциальные данные или готовиться к дальнейшему проникновению.

Более широкая стратегия в действии

MURKYTOUR не был развернут в изоляции. Это один из более чем 20 штаммов вредоносного ПО, которые, по данным Mandiant, использовались связанными с Ираном субъектами угроз в течение 2024 года. Эти более широкие усилия включают такие группы, как UNC3313 и APT42 , которые также сосредоточились на социальной инженерии, целевом фишинге и злоупотреблении законными программными инструментами, чтобы оставаться незамеченными.

Например, UNC3313 использовала темы обучения и вебинаров, чтобы заманить жертв, доставляя вредоносное ПО через знакомые платформы обмена файлами. Между тем, APT42 сосредоточилась на имитации крупных веб-сервисов, таких как Google и Microsoft, для сбора учетных данных. Эти тактики раскрывают закономерность: связанные с Ираном кибероператоры используют реалистичные и убедительные имитации, чтобы обойти традиционные средства защиты.

Более того, облачная инфраструктура стала предпочтительной средой для операций командования и контроля. Скрывая свою активность на платформах, которые обычно используются предприятиями, злоумышленники затрудняют для служб безопасности обнаружение необычного поведения.

Последствия для отдельных лиц и организаций

Инцидент MURKYTOUR — это суровое напоминание о необходимости бдительности, особенно в ситуациях, которые кажутся обычными, например, при приеме на работу. Киберпреступники все чаще нацеливаются на человеческий уровень безопасности, зная, что он часто является самым слабым звеном.

Для организаций это означает больше, чем просто развертывание антивирусного ПО или брандмауэров. Это требует постоянного обучения и повышения осведомленности персонала, особенно в секторах, часто подвергающихся атакам со стороны государственных субъектов, таких как оборона, здравоохранение, финансы и технологии.

Процессы подбора и управления персоналом также неожиданно становятся передовой линией киберзащиты. Компаниям необходимо проверять подлинность сторонних платформ по трудоустройству и отслеживать попытки выдачи себя за другое лицо. Аналогичным образом потенциальные кандидаты должны быть осторожны с неожиданными сообщениями о наборе персонала и проверять объявления о вакансиях через официальные сайты компаний.

Заключительные мысли

Кампания MURKYTOUR представляет собой хрестоматийный случай современного кибершпионажа. Она сочетает техническое мастерство с психологической манипуляцией, эксплуатируя доверие и рутинные процессы, чтобы закрепиться. Поскольку киберугрозы продолжают развиваться, понимание кампаний, подобных этой, имеет важное значение для прогнозирования следующего шага со стороны субъектов угроз, действующих от имени национальных государств.

Лучшая защита? Осведомленность, бдительность и здоровая доля скептицизма — особенно когда предложение кажется слишком хорошим, чтобы быть правдой.