Вредоносное ПО BEARDSHELL: новая глава в цифровом шпионаже

Еще одна угроза на киберарене

На сцену вышел еще один бэкдор, известный как BEARDSHELL , что стало очередным сложным ходом связанной с Россией группы угроз APT28 . Украинские власти отследили эту вредоносную программу до целевой киберкампании, нацеленной на правительственную инфраструктуру, что наглядно демонстрирует, как современные кибератаки теперь органично сочетают социальную инженерию, скрытые методы доставки и многоуровневые вредоносные фреймворки.

Что такое BEARDSHELL?

BEARDSHELL — вредоносная программа, написанная на C++ , которая служит бэкдором для удаленного доступа. После установки на машину жертвы она может запускать скрипты PowerShell по требованию и незаметно отправлять результаты обратно на удаленный сервер с помощью службы обмена файлами Icedrive. Этот уровень функциональности позволяет злоумышленникам сохранять постоянное присутствие в зараженных системах, собирая разведданные, не вызывая немедленных подозрений.

Обнаруженный Украинской группой реагирования на компьютерные чрезвычайные ситуации (CERT-UA) в ходе расследований с марта по апрель 2024 года, BEARDSHELL был обнаружен работающим вместе с отдельным инструментом, предназначенным для создания снимков экрана, получившим название SLIMAGENT. Вместе эти инструменты указывают на четкое намерение: скрытно отслеживать и извлекать данные из зараженных конечных точек.

Сигнал, макросы и вредоносное ПО: необычная цепочка доставки

Возможно, эта кампания вызывает еще большую тревогу из-за ее нового механизма доставки. Вместо типичных фишинговых писем злоумышленники использовали Signal , защищенную платформу обмена сообщениями, для отправки документов Microsoft Word с поддержкой макросов — нетрадиционный подход, который обходит традиционные фильтры безопасности электронной почты. Документ, о котором идет речь, обманчиво названный «Акт.doc», содержал встроенные инструкции, которые в конечном итоге устанавливали несколько вредоносных программ в целевую систему.

При открытии документа загружаются два файла: вредоносный файл DLL с именем ctec.dll и файл изображения windows.png. DLL настроена на запуск при каждом запуске проводника Windows, загружая вредоносный шеллкод из, казалось бы, безобидного файла PNG. Этот шеллкод инициирует резидентную в памяти структуру COVENANT , которая играет решающую роль в загрузке и запуске бэкдора BEARDSHELL.

Почему это важно: более широкие последствия

Появление BEARDSHELL — не единичное событие. Его присутствие указывает на настойчивую и адаптивную тактику, используемую субъектами угроз для проникновения и наблюдения за критически важными цифровыми инфраструктурами. Маскируя вредоносное ПО в мультимедийных файлах и используя для распространения такие доверенные платформы, как Signal, APT28 демонстрирует переход к крайне уклончивым методам.

Более того, эти операции не ограничиваются теоретическим риском. Сообщается, что украинские правительственные системы электронной почты были скомпрометированы с помощью сочетания социальной инженерии и эксплуатации уязвимостей в широко используемых платформах веб-почты, таких как Roundcube , Horde и Zimbra. Вредоносное ПО не только позволяло осуществлять несанкционированный доступ, но и позволяло злоумышленникам незаметно выкачивать данные, такие как электронные письма, адресные книги и информацию о сеансах.

Взгляд на стратегию атакующих

Что делает эту кампанию особенно сложной, так это использование нескольких уровней и инструментов для получения, сохранения и расширения доступа. Вредоносная программа BEARDSHELL не работает изолированно — она является частью более крупной цепочки, включающей несколько других вредоносных компонентов. После получения первоначального доступа, обычно через документ Word или фишинговое письмо, злоумышленники развертывают скрипты, которые манипулируют настройками реестра Windows, используют уязвимости межсайтового скриптинга (XSS) и даже внедряют вредоносные команды SQL для сбора данных.

Атакующие также используют несколько эксплойтов на основе JavaScript, каждый из которых имеет определенную цель. Один вариант перенаправляет входящие письма на сторонний сервер, другой собирает информацию из базы данных, а третий запускает произвольные команды на скомпрометированных почтовых серверах. Эти тактики подчеркивают преднамеренные, хорошо организованные усилия по внедрению в цифровую экосистему цели.

Опережая угрозу: что можно сделать

Хотя методы BEARDSHELL сложны, стратегии защиты не должны быть такими. CERT-UA рекомендует отслеживать трафик на домены, связанные с этой кампанией, в частности app.koofr.net и api.icedrive.net, в качестве первого шага в обнаружении признаков компрометации. Поддержание систем в актуальном состоянии, применение исправлений для известных уязвимостей в почтовом программном обеспечении и отключение выполнения макросов по умолчанию — все это важные защитные практики.

Организациям также рекомендуется обучать персонал распознавать признаки социальной инженерии, особенно необычные запросы документов или методы внеполосной коммуникации, такие как Signal. В эпоху, когда самым слабым звеном часто является человек, образование остается одной из самых сильных защит.

Развивающееся киберполе боя

BEARDSHELL представляет собой тип многоаспектной, скрытной кибероперации, которая становится все более распространенной в современных шпионских кампаниях. Хотя ее техническая сложность примечательна, она также подчеркивает более широкую геополитическую напряженность, разыгрывающуюся в киберпространстве. Информированность, бдительность и проактивность остаются лучшей защитой от угроз, которые продолжают развиваться так же быстро, как и технологии, на которые мы полагаемся.