Троян SilentRoute: поддельный VPN-инструмент, перехватывающий учетные данные, оставаясь незамеченным

Доверенное имя превратилось в троянского коня

Еще одна угроза кибербезопасности наводит шум в сфере безопасности, и это не обычный подозреваемый. Названный SilentRoute , этот троянский вредоносный код был обнаружен встроенным в поддельную версию широко используемого VPN-клиента NetExtender от SonicWall. Атака нацелена на пользователей, желающих загрузить легальное программное обеспечение, обманом заставляя их установить скомпрометированную версию.

По своей сути NetExtender предназначен для безопасного подключения удаленных пользователей к корпоративным сетям, позволяя им получать доступ к файлам, внутренним приложениям и другим ресурсам, как если бы они сидели за столом в офисе. Однако, будучи превращенным в оружие, как в случае с SilentRoute, это подключение становится шлюзом для злоумышленников, чтобы украсть конфиденциальные данные прямо с устройства пользователя. Излишне говорить, что SonicWall не связан с распространением этого вредоносного ПО.

Метод проникновения SilentRoute

Зараженное программное обеспечение, выдававшее себя за версию 10.3.2.27 NetExtender, было обнаружено при обслуживании через мошеннический веб-сайт, который с тех пор был отключен. Убедительность уловки заключается в том, что установщик был подписан цифровой подписью — по-видимому, законной компанией CITYLIGHT MEDIA PRIVATE LIMITED. Эта цифровая подпись, вероятно, помогла обойти скептицизм пользователей и контроль безопасности.

Microsoft, которая сотрудничала с SonicWall для расследования кампании, идентифицировала троян и отследила его распространение. Злоумышленники, по-видимому, использовали знакомые, но эффективные методы для заманивания жертв — используя тактику, такую как отравление поисковой оптимизации (SEO), целевой фишинг и даже вредоносную рекламу для распространения поддельного программного обеспечения. Пользователи, ищущие NetExtender в Интернете, могли неосознанно оказаться на вредоносном сайте, загрузить поддельный клиент и раскрыть свои учетные данные в процессе.

Как работает SilentRoute за кулисами

После установки вредоносная версия NetExtender ведет себя обманчиво, как настоящее приложение. Но под капотом два ее основных компонента — NeService.exe и NetExtender.exe — были изменены для отправки данных конфигурации на контролируемый злоумышленником сервер. Эти данные включают учетные данные для входа, такие как имена пользователей, пароли, доменные имена и другую информацию о конфигурации, критически важную для доступа к VPN.

Вредоносная программа делает это, перехватывая процесс подключения. Когда пользователи вводят свои учетные данные VPN и нажимают «Подключиться», вредоносный код перехватывает информацию и передает ее на удаленный сервер через порт 8080, используя IP-адрес 132.196.198.163. Примечательно, что вредоносная программа также обходит типичные проверки сертификатов, гарантируя, что измененные файлы не вызовут немедленного оповещения.

Что это значит для пользователей и организаций

Последствия этой кампании выходят за рамки кражи индивидуальных учетных данных. Поскольку VPN часто являются первой линией доступа в защищенную корпоративную сеть, скомпрометированные учетные данные могут предоставить злоумышленникам значительные привилегии, позволяющие осуществлять горизонтальное перемещение, эксфильтрацию данных и долгосрочное наблюдение. Для организаций, полагающихся на инфраструктуру удаленной работы, SilentRoute представляет серьезный риск для внутренних систем и конфиденциальных данных.

Более того, обманное использование цифровых подписей еще больше усложняет процесс обнаружения. Подписывая вредоносное ПО с помощью того, что кажется действительным сертификатом, злоумышленники обходят многие традиционные антивирусные и конечные средства защиты, особенно те, которые полагаются на обнаружение на основе сигнатур.

Более широкий ландшафт угроз: EvilConwi и связанные с ним кампании

SilentRoute — не единичный случай. Примерно в то же время немецкая фирма по кибербезопасности G DATA сообщила о связанном кластере угроз, получившем название EvilConwi , где злоумышленники аналогичным образом манипулировали доверенными инструментами — в данном случае установщиками ConnectWise — для развертывания вредоносного ПО. Эти кампании используют «заполнение authenticode» — технику, которая позволяет внедрять вредоносный код, не нарушая цифровую подпись файла.

Инфекции в случае EvilConwi часто начинаются с фишинговых писем, ссылающихся на страницу Canva, которая затем загружает поддельный установщик ConnectWise. Оттуда злоумышленники развертывают поддельные экраны обновления Windows, чтобы не дать жертвам выключить свои системы, пока удаленный доступ тихо устанавливается в фоновом режиме.

Эта более широкая тенденция подчеркивает растущую тактику среди злоумышленников: использование легитимности известного программного обеспечения для сокрытия своих операций, что затрудняет обнаружение их действий и повышает доверие к ним.

Опережая угрозу

Кампания SilentRoute подчеркивает важность бдительности при загрузке программного обеспечения, особенно инструментов, связанных с безопасностью и удаленным доступом. Пользователи и администраторы должны всегда проверять источник загрузок, в идеале получая их напрямую с официальных сайтов поставщиков, а не полагаясь на результаты поисковых систем.

Для организаций это также сигнал к действию: усилить мониторинг конечных точек, внедрить закрепление сертификатов там, где это возможно, и рассмотреть механизмы обнаружения на основе поведения, которые могут отмечать необычную сетевую активность или изменения файлов.

Поскольку злоумышленники становятся все более искусными в маскировке своих намерений через доверенные каналы, защита от киберугроз должна развиваться параллельно. Троян SilentRoute служит своевременным напоминанием о том, что доверие — особенно в программном обеспечении — должно постоянно проверяться, а не предполагаться.