Awaken Likho не спит: разбираем новые техники APT-группы

Введение

В июле 2021 года была запущена кампания, нацеленная в первую очередь на российские государственные учреждения и промышленные предприятия. Вскоре после запуска мы начали отслеживать эту кампанию и в августе и сентябре 2024 года выпустили три отчета в рамках подписки на исследования угроз об акторе, которого мы назвали Awaken Likho (в исследованиях других вендоров эта угроза также известна как Core Werewolf).

В процессе исследования активности этой APT-группы мы обнаружили новую кампанию, которая началась в июне 2024 года и продолжалась как минимум до августа. Анализ кампании показал, что атакующие существенно изменили ПО в своих атаках. Теперь злоумышленники предпочитают использовать агент для легитимной платформы MeshCentral вместо модуля UltraVNC, при помощи которого атакующие получали удаленный доступ к системе ранее. При этом группу по-прежнему интересуют государственные организации и предприятия, расположенные в России.

Технические детали

В ходе исследования мы обнаружили при помощи наших Yara-правил новый имплант, который не видели прежде в арсенале этой группы злоумышленников. На основании нашей телеметрии мы пришли к выводу, что имплант загружался на устройства жертв с вредоносного URL, который предположительно попадал к пользователям через фишинговые письма. Операторы Awaken Likho обычно используют поисковые движки, чтобы получить как можно больше информации о жертве и подготовить наиболее правдоподобные сообщения. Нам не удалось получить оригинальные фишинговые письма, с помощью которых распространялся этот имплант, однако во вложениях к письмам из предыдущих кампаний содержались самораспаковывающиеся архивы (SFX) и ссылки на вредоносные модули. Кроме того, в прошлых атаках для доставки зловреда использовались Golang-дропперы, чего мы не обнаружили в этой активности, но главное отличие исследуемого импланта заключается в новом методе получения и удержания контроля над зараженной машиной. На протяжении нескольких лет мы отмечали использование модуля UltraVNC для получения удаленного доступа к системе, однако в этой кампании атакующие применили ПО MeshAgent — агент для системы MeshCentral. Согласно официальному сайту MeshCentral, это решение для удаленного управления устройствами с открытым исходным кодом и широкой функциональностью.

Мы обнаружили импланты нового типа в сентябре 2024 года, и, по данным нашей телеметрии, атакующие начали применять это ПО в августе 2024 года. Далее мы подробно проанализируем такой имплант.

Распаковка архива

Как и в прошлых кампаниях, имплант упакован при помощи UPX и распространяется в самораспаковывающемся архиве, который создан при помощи 7-Zip, что следует из его метаданных. Для продолжения анализа нам необходимо его распаковать.

Метаданные импланта

Архив содержит пять файлов, четыре из которых замаскированы под легитимные системные службы и командные файлы.

Содержимое архива импланта

Оставшийся CMD-файл (последний на скриншоте выше) имеет неописательное имя, сгенерированное случайным образом. В предыдущих имплантах, которые мы анализировали, большинство файлов именовались исключительно таким образом, кроме того, часть файлов не содержала полезную нагрузку и добавлялась в архив для усыпления бдительности пользователя. Мы проанализируем все файлы из архива, но сначала откроем его в режиме «#». Это специальный режим 7-Zip для анализа файлов (parser mode), с помощью которого можно получить дополнительную информацию об архиве, в том числе установочный скрипт.

Открытие архива в режиме «#» из контекстного меню архиватора

Содержимое архива, открытого в режиме «#»

Чтобы определить, как именно имплант закрепляется в системе, извлечем из архива установочный скрипт под названием «2».

Установочный скрипт SFX-архива

Как видно из кода скрипта, SFX-модуль извлекает все компоненты архива во временную директорию и запускает MicrosoftStores.exe без параметров.

AutoIt-скрипт

Следующий шаг этой атаки — выполнение MicrosoftStores.exe. Этот образец также упакован при помощи UPX.

Распаковав файл, мы видим, что он содержит скомпилированный AutoIt-скрипт с интерпретатором — об этом говорит блок данных в коде файла, начинающийся на AU3!. Наличие скрипта объясняет, почему после извлечения из архива файл запускался без параметров.

Мы смогли извлечь декомпилированный AutoIt-скрипт, который был обфусцирован.

Извлеченный AutoIt-скрипт

Деобфусцировав его вручную, мы смогли определить назначение скрипта: он запускает файлы NetworkDrivers.exe и nKka9a82kjn8KJHA9.cmd с заданными параметрами для закрепления в системе.

Содержимое AutoIt-скрипта после деобфускации

Полезная нагрузка

NetworkDrivers.exe

Теперь изучим первый исполняемый файл, который запускается скриптом, — NetworkDrivers.exe.

Этот образец детектируется нашими продуктами с вердиктом not-a-virus:HEUR:RemoteAdmin.Win32.MeshAgent.gen. Действительно, это MeshAgent — агент для легитимной платформы MeshCentral, которую атакующие стали использовать вместо UltraVNC.

nKka9a82kjn8KJHA9.cmd

Далее AutoIt-скрипт запускает командный файл nKka9a82kjn8KJHA9.cmd с заданными параметрами.

Важно отметить, что этот скрипт имеет нетипично большой размер: более 1 МБ. Причина проста — он сильно обфусцирован.

Часть обфусцированного содержимого файла nKka9a82kjn8KJHA9.cmd

Несмотря на значительный объем кода, принцип обфускации довольно прост: злоумышленники используют вставки текста-заполнителя большого размера. Во время выполнения скрипта интерпретатор пропускает бессмысленный текст благодаря использованию меток с оператором GOTO.

Нам удалось легко деобфусцировать этот файл.

Файл nKka9a82kjn8KJHA9.cmd после ручной деобфускации

Цель этого командного файла — создание задачи планировщика под названием MicrosoftEdgeUpdateTaskMachineMS. Она выполняет скрипт EdgeBrowser.cmd из распакованного архива и удаляет определенные файлы, связанные с вредоносной активностью, например исполняемый файл первого этапа атаки MicrosoftStores.exe. Это позволяет затруднить обнаружение злоумышленников.

EdgeBrowser.cmd

Командный файл предыдущего этапа создает задачу для запуска скрипта EdgeBrowser.cmd.

Командный файл EdgeBrowser.cmd

Этот скрипт запускает файл NetworkDrivers.exe (агент MeshAgent) при помощи PowerShell для взаимодействия с C2.

Таким образом, вышеописанные действия позволяют APT закрепиться в системе: атакующие создают задачу планировщика, запускающую командный файл, который, в свою очередь, запускает MeshAgent для установки соединения с сервером MeshCentral.

NetworkDrivers.msh

В архиве содержится еще один файл под названием NetworkDrivers.msh. Это файл конфигурации MeshAgent, позволяющий настроить агент. Его содержимое мы также нашли в коде исполняемого файла NetworkDrivers.exe.

Содержимое файла настроек MeshAgent

В этом файле указаны параметры агента для установки соединения с сервером MeshCentral: MeshName, MeshID, ServerID и адрес C2 с соединением по протоколу WebSocket. При открытии этого адреса через HTTPS открывается следующее окно — это форма входа на платформу MeshCentral.

Интерфейс входа на платформу MeshCentral

Это подтверждает, что атакующие использовали легитимную систему MeshCentral для взаимодействия с C2-сервером.

Жертвы

Главными жертвами описанной атаки стали государственные учреждения в России, их подрядчики и промышленные предприятия.

Атрибуция

Основываясь на используемых TTP и информации о жертвах, мы относим эту кампанию с высокой степенью уверенности к APT Awaken Likho.

Выводы

Awaken Likho — одна из групп злоумышленников, которые нарастили темпы активности после начала российско-украинского конфликта. В последнее время ее методы существенно поменялись: например, группа начала использовать MeshCentral вместо UltraVNC. APT до сих пор активна: мы видели свежие импланты, датированные августом 2024 года. Стоит отметить, что исследуемый в этой статье имплант не содержит файлов без полезной нагрузки, которые мы наблюдали в предыдущих образцах. Очевидно, что это новая версия зловреда, которая по-прежнему находится в процессе разработки. Полагаем, что увидим новые атаки от операторов Awaken Likho.

Мы убеждены, что группе до сих пор удается атаковать выбранные цели, проникая в их инфраструктуру. Для защиты организаций от подобных атак необходимо комплексное решение, обеспечивающее непрерывную защиту корпоративных ресурсов даже в условиях меняющихся угроз.

Индикаторы компрометации

603eead3a4dd56a796ea26b1e507a1a3
deae4a955e1c38aae41bec5e5098f96f
892c55202ce3beb1c82183c1ad81c7a0
63302bc6c9aebe8f0cdafdd2ecc2198a
912ebcf7da25c56e0a2bd0dfb0c9adff
c495321edebe32ce6731f7382e474a0e

Домен
kwazindernuren[.]com

IP-адрес
38.180.101[.]12

Имя вредоносной задачи
MicrosoftEdgeUpdateTaskMachineMS