Корпоративный шпионаж – одна из опаснейших целей киберпреступности. Вовремя украденный документ или письмо может повлиять на ход отдельной сделки, репутацию, и в целом оставить негативный след на бизнесе компании.
При этом выявить подобного рода атаку также сложно, как оценить реальный вред от нее. Отличием атак с целью шпионажа является их скрытый характер. Они не используют активные трояны или средства удаленного выполнения команд. Они «тихо» сидят в компьютере жертвы и, используя максимально легитимные для оборудования мониторинга ИБ инструменты, распространяются между пользователями и загружают либо передают данные злоумышленникам.
Наш партнер Group-IB поделился данными о расследовании деятельности хакерской группировки RedCurl, основной целью которой является корпоративный шпионаж.
Среди жертв RedCurl – строительные компании, розничные торговцы, туристические агентства, страховые компании, финансовые компании, банки, юридические и консалтинговые фирмы из России, Украины, Канады, Германии, Великобритании, Норвегии. И это география только обнаруженных экспертами атак. Реальные следы присутствия группировки могут быть гораздо шире.
Целью злоумышленников является кража отдельных документов с максимально долгим «необнаружением» их присутствия в инфраструктуре. Известно о присутствии от двух месяцев до полугода. Характерны для атак:
- Тонкие фишинговые уловки. Например, рассылка фишингового письма не только жертве, но и ее коллегам, причем поиск e-mail аккаунтов происходит в том числе с ПК жертвы одним из Windows Powershel скриптов RedCurl или утилитой ADExplorer.
- Использование щекотливых тем в рассылках («положение о ежегодном премировании сотрудников») с отсылками на руководство компании или службу HR со всеми необходимыми реквизитами.
- Использование нехарактерных для рядовых хакеров инструментов. Например, для скачивания и загрузки данных в облако группировка RedCurl использует утилиту curl, отсюда, вероятно, и пошло название группировки. Эти инструменты более характерны для образовательных антифишинговых программ и пентестеров.
- Для обмена информацией с жертвой RedCurl использует общедоступные облака (cloudme.com, pcloud.com, drivehq.com, opendrive.com, powerfolder.com, docs.live.net и другие) и собственные PowerShell-программы (дропперы, First Stage агенты и др.).
Группировка RedCurl не одинока, уже поступала информация от «Лаборатории Касперского» о группировках Redoctober и CloudAtlas, которые также занимаются шпионажем.
Эксперты группы компаний Angara рекомендуют:
- Следить за новостными дайджестами и в случае сообщений о подобных кибератаках и преступных группировках проверять свою инфраструктуру на присутствие следов атак.
- Производить тщательное расследование подозрительных событий в инфраструктуре, так как даже без явного участия вредоносного ПО аномалия может указывать на присутствие злоумышленника. Для расследований можно привлекать экспертов сервисных компаний, в том числе группы компаний Angara.
- Повышать осведомленность своих сотрудников о рисках и методах атак, особенно фишинговых.
