Как мы выслеживали известную во всем мире группировку Winnti и пресекли их атаку

Специалисты экспертного центра безопасности Positive Technologies (PT Expert Security Center, далее также — PT ESC) в рамках регулярного мониторинга угроз ИБ обнаружили неизвестную ранее вредоносную программу. Эта программа оказалась связана с хакерской группой Winnti. Шпионаж, громкие взломы ASUS и ССleaner и, как следствие, пристальное внимание правительства США — вот чем могут похвастаться Winnti. В статье мы расскажем, как шли по их цифровым следам и пресекли атаку.

Winnti (она же APT41, BARIUM, AXIOM) — хакерская группировка с китайскими корнями, существующая уже больше девяти лет и известная специалистам по безопасности во всем мире. Примечательна она тем, что любит использовать технику supply chain attack, когда цель атакуется не напрямую, а через промежуточное звено — например, партнеров-поставщиков ПО или оборудования.

Основной арсенал группировки состоит из вредоносных программ собственной разработки. При этом инструменты группы постоянно развиваются и совершенствуются. Часто именно Winnti создают инновационные хакерские техники.

Ребята настолько опасны, что правительство США уже арестовало двух участников группы, а еще пятерых объявило в международный розыск за причастность к кибератакам на сотни организаций. Указав на близость этих китайских граждан к государственным спецслужбам, США подтвердили подозрения многих исследователей, отслеживающих атаки этой группы. Можно сказать, что это одна из самых активных и дерзких хакерских группировок на сегодняшний день.

В марте прошлого года специалисты PT ESC обнаружили неизвестный ранее бэкдор, дав ему название xDll — по элементу в коде. Исследуя его и похожие на него образцы, они не обнаружили ничего необычного, кроме названия домена контрольного сервера: www.g00gle_jp.dynamic-dns[.]net. Это фишинговый адрес, рассчитанный на компании из Японии. Тогда эксперты просто зафиксировали этот факт и отложили, так как не обнаружили четкой связи ни с одной из группировок.

Эксперты PT ESC нашли вредоносную программу — ShadowPad. Ее домен и домен xDll были очень похожи по структуре. Было решено, что это дело рук той же группы, и дан старт исследованию инфраструктуры. Через несколько IP-адресов получилось связать эти программы друг с другом.

Позже эксперты нашли еще образцы и xDll, и ShadowPad, и загрузчики, которых раньше не встречали. Увидели, что у всех одинаковый SSL-сертификат. Про этот сертификат в 2017 году писали эксперты Avast в расследовании атаки на CCleaner. Он был точно такой же, за три года его не поменяли. А в 2019 году компания FireEye, когда рассказывала о кибератаках на Японию, упомянула, что этот сертификат использовался на контрольных серверах APT41 и в их ВПО. В общем, совпадений было достаточно, чтобы заявить, что Winnti возобновила свою активность.

Ответ на этот вопрос нашли по фишинговым адресам, которые использовала группа, замаскированным под сайты Яндекса, Google и Facebook. По этим и другим показателям предположили, что они атаковали компании из России, США, Южной Кореи и Монголии.

Изначально перед PT ESC стояла задача как можно шире исследовать инфраструктуру и получить данные об атаках, а если повезет, то раздобыть и информацию о скомпрометированных узлах.

Логи, кстати, принадлежали бэкдору, который мы нашли ранее и упоминали в этой статье выше, что тоже легло в доказательную базу в деле Winnti.

Компаниям, которые оказались заражены, мы отправили письмо с именами скомпрометированных компьютеров, доказательной базой, а также советами, что можно сделать, чтобы защититься. Информация о зараженных зарубежных организациях была передана командам CERT (computer emergency response team), которые, в свою очередь, связались с соответствующими иностранными компаниями.

Через неделю после публикации отчета выяснилось, что большинство доменов были «завернуты» на адрес 127.0.0.1, а контрольные серверы отключены. Мы проводили исследование достаточно долго, и на всем его протяжении такого еще не случалось. Поэтому мы связываем сворачивание инфраструктуры по распространению вредоносного ПО с публикацией наших материалов.

#информационнаябезопасность #cybersecurity #хакеры #кибергруппировки #winnti #PTESC #ВПО #зловред #расследование #бэкдор #shadowpad