Тихоокеанский рубеж: кибершпионы из RedCurl нацелились на Австралию, Сингапур и Гонконг

В октябре 2023 года команда F.A.C.C.T. Threat Intelligence обнаружила файлы, которые использовала шпионская группа RedCurl для атак на потенциальные цели в Австралии, Сингапуре и Гонконге. Речь о компаниях, работающих в сфере строительства, логистики, авиаперевозок, горнодобывающей промышленности.

Русскоговорящая группа RedCurl впервые была открыта компанией F.A.С.С.T. в конце 2019 года, а активна она как минимум с 2018 года. Злоумышленники не шифровали компании, не похищали деньги со счетов, а занимались исключително кибершпионажем на заказ. Их задача — в ходе тщательно спланированной атаки незаметно добыть ценные сведения: деловую переписку, личные дела сотрудников, юридические документы. С момента заражения до кражи данных обычно проходило  от 2 до 6 месяцев. Обычно в атаках RedCurl использовали свои самописные уникальные инструменты.

Цепочка атаки, инструменты, тактики и техники RedCurl впервые были подробно описаны в отчете 2020 года «RedCurl. Пентест о котором вы не просили», а год спустя — в исследовании «RedCurl. Пробуждение».

По данным компании F.A.С.С.T., RedCurl провела около 40 атак: половина из них — в России, остальные — в Великобритании, Германии, Канаде, Норвегии, на Украине. И, как оказалось, злоумышленники не останавливается на уже “отработанных” регионах, а постоянно расширяет свою географию атак.

В этом блоге автор Артем Грищенко, специалист по анализу вредоносного кода компании F.A.С.С.T., анализирует новые кибератаки RedCurl за пределами России, и рассказывает об обновленных инструментах в цепочках заражения и маскировке. Используя эти данные, российские компании могут лучше подготовиться к подобным потенциальным атакам RedCurl. По традиции, индикаторы компрометации и обзор тактик, техник и процедур (TTPs) RedCurl на основе матрицы MITRE ATT&CK® приведены в конце блога.

Технические детали атак осенью 2023 года

Цепочка заражения RedCurl в атаках 2023 года

Рисунок 1. Цепочка заражения RedCurl в атаках 2023 года.

Первоначальный доступ

Точка входа, используемая RedCurl, осталась без изменений — отправка электронного письма сотрудникам атакуемой компании. На рис. 2 и 3 представлены два подобных примера.

Оба письма являются корпоративными предложениями от предполагаемой компании отправителя, сотруднику атакуемой компании. В данном случае, письма отправлены от лица Amazon и Samsung (рис. 4 и 5 соответственно). Они содержат вложения в виде SVG-файлов или RAR-архивов содержащих SVG-файлы (от англ. Scalable Vector Graphics – масштабируемая векторная графика, ее обычно используют для отображения значков веб-сайтов, таких как кнопки, а также логотипов компаний).

С недавнего времени SVG-файлы являются обновленной стадией цепочки заражения RedCurl. В прошлых атаках RedCurl использовали ссылки в теле письма, при переходе по которым, загружался ISO-файл (стадия RedCurl.ISO). В новых атаках RedCurl используют SVG-файлы для имитации служб безопасной передачи почты (Secure Mail Transfer Service). В ходе нашего исследования данных атак мы также обнаружили SVG-файл, маскирующийся под службу безопасной передачи почтовых вложений (Mail Attachments Secure Transfer Service) департамента транспорта, правительства Австралии (рис. 6).

Рисунок 6. RedCurl.SVG, мимикрирующее под MASTS (Mail Attachments Secure Transfer Service) департамента транспорта, правительства Австралии.

SVG-файлы содержат ссылки, по которым располагаются стадии RedCurl.ISO. В RedCurl.ISO находится LNK-файл и директория, которая включаетт множество файлов с расширением .dll. Однако все, кроме одного файла, содержат случайный набор байтов. Действительный DLL-файл, располагающийся в директории, был классифицирован как RedCurl.SimpleDownloader.

Стадия RedCurl.ISO была впервые описана в нашем предыдущем блоге.

Когда пользователь откроет ярлык (RedCurl.LNK), будет выполнена команда с использованием системного инструмента rundll32.exe, которая запускает стадию RedCurl.SimpleDownloader.

Примеры команд, которые будут выполнены посредствам запуска RedCurl.LNK:

• rundll32.exe OcGdpKs\kDfY7w.dll,amazon
• rundll32.exe Temp\HcJsPr.dll,samsung
• rundll32.exe Temp\RcBdpT.dll,cvau

RedCurl.SimpleDownloader

RedCurl.SimpleDownloader — DLL-файл, использующийся для загрузки следующей стадии и отображения сайта-приманки. Также, в ходе работы загрузчика будет создана задача в планировщике задач Windows для закрепления RedCurl.Downloader в системе. Примеры URL, которые использовались для отображения сайтов-приманок:

• https://amazon.com/your-account/
• https://www.samsung.com/3a727916-8655-4f8b-aee5-388ad1e7df07/
• https://www.samsung.com/b01131f7-2119-4f68-bb0b-6f77d80f1f7f/
• https://www.samsung.com/au/f3780bed-1d94-4236-b8ce-07c322ded4ea/
• https://www.linkedin.com/login

Адреса C2 серверов RedCurl.SimpleDownloader, обнаруженных в ходе исследования:

• hXXp://app-l07[.]servicehost[.]click/ldn21_amazon
• hXXp://clever[.]forcloudnetworks[.]online/ldn23_samsung
• hXXp://app-l07[.]servicehost[.]click/ldn22_samsung
• hXXp://app-l07[.]servicehost[.]click/ldn20_seek
• hXXp://fiona[.]forcloudnetworks[.]online/ldn25_cv_au

Загруженная стадия будет записана в систему с использованием следующего шаблона пути: [%APPDATA%,%LOCALAPPDATA%]\VirtualStore\{HARDCODED_PHRASE}_{BASE64_COMPUTERNAME}.exe. Примеры:

• %LOCALAPPDATA%\VirtualStore\sm_{BASE64_COMPUTERNAME}.exe
• %LOCALAPPDATA%\VirtualStore\amz_{BASE64_COMPUTERNAME}.exe
• %LOCALAPPDATA%\VirtualStore\seek_{BASE64_COMPUTERNAME}.exe
• %APPDATA%\VirtualStore\ChromeBrowser_{BASE64_COMPUTERNAME}.exe
• %APPDATA%\VirtualStore\ChromeC_{BASE64_COMPUTERNAME}.exe
• %APPDATA%\VirtualStore\Chrome_{BASE64_COMPUTERNAME}.exe

Как мы писали выше, RedCurl.SimpleDownloader создаст запланированную задачу для закрепления в системе следующей стадии. В ходе исследования было установлено, что параметры Name, Location и Author не изменяются в зависимости от семпла.

Список Action:

• pcalua.exe -a %APPDATA%\VirtualStore\ChromeBrowser_{BASE64_COMPUTERNAME}.exe -c 6VPZ9g2OX4pHebY7so
• %LOCALAPPDATA%\VirtualStore\sm_{BASE64_COMPUTERNAME}.exe bXThqHtrJrDFssgViOM
• %LOCALAPPDATA%\VirtualStore\amz_{BASE64_COMPUTERNAME}.exe EfsFlOEorrkmwSGh
• %LOCALAPPDATA%\VirtualStore\seek_{BASE64_COMPUTERNAME}.exe OZsP5S14F30UE5XsP
• pcalua.exe -a %APPDATA%\VirtualStore\Chrome_{BASE64_COMPUTERNAME}.exe -c NjxDZUH2wI2fw
• pcalua.exe -a %APPDATA%\VirtualStore\ChromeС_{BASE64_COMPUTERNAME}.exe -c xhwKuylLCdqs8

Необходимо отметить, что RedCurl.SimpleDownloader может содержать разные пути для записи следующей стадии (%APPDATA% или %LOCALAPPDATA%), и запланированная задача тоже может иметь разные методы запуска следующей стадии. В исследуемых атаках, помимо тривиального запуска исполняемого файла, был обнаружен метод запуска исполняемого файла с помощью системной утилиты pcalua.exe (Program Compatibility Assistant).

RedCurl.Downloader

RedCurl.Downloader используется для отправки информации о зараженной системе и загрузки следующей стадии. Данная стадия была также ранее описана в наших исследованиях:

• Блог «Кудри примелькались: кибершпионы из RedCurl атаковали банк от имени популярного маркетплейса»
• Исследование «RedCurl. Пробуждение»

После запуска данная стадия выполнит несколько проверок системы:

• Проверка имени родительского процесса с svchost.exe и taskeng.exe (не представлена в одном из найденных семплов, — прим. автора)
• Проверка сети путем выполнения запроса к одному из легитимных ресурсов:
  • www.msn.com
  • www.google.com
  • www.yahoo.com
  • www.google.co.uk
  • duckduckgo.com
  • www.wikipedia.org
  • www.reddit.com
  • www.bing.com
  • www.amazon.com
  • www.ebay.com
  • www.microsoft.com

В случае если все проверки были пройдены, RedCurl.Downloader соберет информацию о системе и отправит ее на C2-сервер. Информация включает:

• имя компьютера
• имя пользователя
• имя домена
• содержимое директорий: %PROGRAMFILES%, %DESKTOP% и %LOCALAPPDATA%

RedCurl.Downloader использует два C2 адреса при выгрузке данных и получении следующей стадии (рис. 9). Собранные данные будут поочередно отправлены на каждый C2 адрес, используя POST-запросы с параметрами:

Формат запроса остался без изменений согласно версии данной стадии, описанной в предыдущем блоге.

Данные запроса имеют следующий формат:

• RANDOM_STRING — случайная ASCII-строка длиной от 5 до 19 символов
• COMPUTERNAME  — имя зараженного компьютера
• DOMAINNAME  — имя домена, в котором находится зараженный компьютер
• USERNAME  — имя пользователя
• RANDOM_NUMBER  — случайное число от 0 до 23
• LIST_OF_FILES — список файлов и директорий, расположенных в %PROGRAMFILES%, %DESKTOP% and %LOCALAPPDATA%
• REDCURL_EXTRACTOR_EXPORT_NAME  — имя экспортируемой функции следующей стадии (RedCurl.Extractor)

Рисунок 9. Сессия коммуникации RedCurl.Downloader с C2 сервером.

Использованные в атаке адреса C2 серверов RedCurl.Downloader:

В случае, если следующая стадия была получена, RedCurl.Downloader сохранит её в собственную директорию со случайно сгенерированным именем, загрузит ее и вызовет экспортную функцию в контексте собственного процесса. После того как стадия была успешно выполнена, RedCurl.Downloader удалит ее из системы.

В ходе нашего исследования следующая стадия (RedCurl.Extractor) была недоступна. Однако, ниже представлена информация о данной стадии относительно прошлой атаки, совершенной на российскую компанию.

RedCurl.Extractor

В прошлых атаках RedCurl, RedCurl.Extractor использовался для извлечения и закрепления в системе следующей стадии (RedCurl.FSABIN). Так, RedCurl.Extractor извлекал следующую стадию и легитимный инструмент — 7-Zip. Далее, создавал файл, используя следующий шаблон имени [0-9a-f]{8}.dat. Данный файл содержал строку, которая использовалась для расшифровки строк в следующей стадии (RedCurl.FSABIN). В завершении своей работы, RedCurl.Extractor создавал запланированную задачу в планировщике задач Windows для закрепления RedCurl.FSABIN в зараженной системе.

В ходе нашего исследования мы обнаружили несколько файлов RedCurl.FSABIN. Однако стадии RedCurl.Extractor или DAT-файлы, которые позволили бы расшифровать строки, обнаружены не были.

RedCurl.FSABIN

RedCurl.FSABIN используется для предоставления злоумышленникам удаленного контроля над зараженной системой. Данная стадия имеет возможности загрузки и выполнения BAT-сценариев (RedCurl.Commands). RedCurl.FSABIN выполняет запросы к C2 серверу для получения ключа расшифровки и зашифрованного BAT-сценария, который будет расшифрован и выполнен на зараженной системе.

Дополнительная информация

В контексте нашего исследования был обнаружен дополнительный файл RedCurl.ISO (SHA-1: c90445f26f66aec87d9a2069427c622bde90766c), без SVG-файла. Имя этого файла “LinkedIn cvTS export 12089001.iso”, имя содержащегося LNK-файла “LinkedIn cvTS export 12089001.lnk” и экспортная функция RedCurl.SimpleDownloader “cvau”, могут означать, что векторы инициализации этой атаки мимикрировали под электронное письмо с информацией о LinkedIn резюме. Исходя из Submitter информации, представленной на платформе VirusTotal, данная атака была также направлена на австралийскую компанию.

Также был обнаружен RedCurl.SimpleDownloader, который, судя по С2-адресу и экспортной функции, мог относиться к цепочке заражения, где первоначальные векторы атаки мимикрировали под австралийскую онлайн-биржу труда SEEK.

Измененные начальные стадии

Нами были обнаружены LNK-файлы, загруженные на платформу VirusTotal в ноябре 2023 года. Ниже представлены SHA-1 хеш-суммы семплов:

• a5e04d2e61478a632a93507a65e470fe3fdb40d1 (CV Export 703902.pdf.lnk)
• e1f39bd3d4015d93dc2d274d574b9b8dc0d74e53 (CV Export 10988741.pdf.lnk)
• b17e32673f68315a63decc796c4e76b03ae05cc1 (CV Export 1075411.pdf.lnk)

Данные файлы выполняют команду для загрузки и запуска DLL-файла, используя системную утилиту pcalua.exe (Program Compatibility Assistant). Важно отметить, что LNK-файлы используют C2 сервера, как рабочую директорию для загрузки и запуска DLL-файлов. Ссылки рабочих директорий С2 серверов:

• hXXps://au-01b09387-e789-4f13-922b-269339dc9d79[.]soulbirth[.]com[.]au\cldavroot
• hXXps://ca-02a0b6cb-234d-4944-92f4-5fa0f32c5a36[.]unitgrapigs[.]com\cldavroot
• hXXps://hk-1761-4289-889b-75c0fec903cb[.]bmrresources[.]com\cldavroot

Шаблон команды, которую используют LNK-файлы:

• pcalua.exe -a rundll32.exe -c {GUID}.dll,cv

В ходе исследования был обнаружен семпл (SHA-1: 0254d518f5a4e3cc8fa3505219b72cda66cfe14a), данный семпл был загружен одним из LNK-файлов. Файл был классифицирован как RedCurl.SimpleDownloader. Используемый C2 сервер для загрузки следующей стадии:

• hXXps://srv-au-01[.]palvelin[.]net/dn-26wd-au-02/

Используемый URL для обмана:

• https://www.seek.com/

Потенциально успешная атака RedCurl

Команда F.A.C.C.T. Threat Intelligence обнаружила два загруженных файла на платформу VirusTotal с диапазоном около минуты, и с одним и тем же Submitter-ID. Первый файл был классифицирован как RedCurl.FSABIN, использующийся для загрузки и выполнения BAT-сценариев на зараженном устройстве. В ранних атаках, BAT-сценарии использовались для сбора информации о зараженной системе/инфраструктуре и отправления полученного результата на легитимные облачные диски в защищенных паролем архивах.

Второй обнаруженный файл являлся слепком базы данных Active Directory, который относится к одной из австралийских логистических компаний. Исходя из нашего опыта исследования атак группы RedCurl, можно сделать вывод, что атакующие  используют AD Explorer для создания слепков базы данных Active Directory и их эксфильтрации путем загрузки результата на контролируемые злоумышленниками облачные диски.

Основываясь на имеющейся информации, с большей уверенностью мы можем сказать, что в данной атаке RedCurl удалось успешно дойти до этапа загрузки и выполнения стадий RedCurl.Commands с потенциально успешной эксфильтрацией слепка базы данных AD.

Выводы и рекомендации

Анализ недавних атак преступной группы RedCurl показал, что злоумышленники не останавливаются на компаниях из России и СНГ, а расширяют географию своих целей. Кибершпионы по-прежнему тщательно разрабатывают всю цепочку нападения и модернизируют свой инструментарий так, что  долгое время остаются незамеченными в сети жертвы.

Для предотвращения и защиты от потенциальных кибератак группы RedCurl, специалисты F.A.C.C.T. Threat Intelligence рекомендуют:

1. Использовать современные меры защиты электронной почты, чтобы предотвратить первоначальный взлом. Мы рекомендуем узнать, как F.A.C.C.T. Business Email Protection может эффективно противостоять такого рода атакам.
2. Регулярно обучать сотрудников, чтобы сделать их менее подверженными фишингу во всех его формах.
3. Отслеживать задачи, созданные в планировщике задач Windows.
4. Особое внимание обратить на решения для работы с Active Directory, включая встроенные инструменты, которые могут быть использованы злоумышленниками для разведки.
5. Использовать данные F.A.C.C.T. Threat Intelligence для обнаружения и проактивного поиска угроз.

Индикаторы компрометации

Майская атака на регионы СНГ

Файлы

RedCurl.ISO

RedCurl.LNK

RedCurl.SimpleDownloader

RedCurl.Downloader

Файловый путь

%LOCALAPPDATA%\VirtualStore\chrminst_{BASE64_COMPUTERNAME}.exe

Запланированная задача

Ссылка

• hXXps://app-ins-001[.]amscloudhost[.]com/dn01/

Домены

• app-ins-001[.]amscloudhost[.]com
• m-dn-001[.]amscloudhost[.]com
• m-dn-002[.]amscloudhost[.]com

User-Agent

• Mozilla/5.0 (Windows NT; Windows NT 10.0;) WindowsPowerShell/5.1.20134.790

Осенние атаки по австралийскому и азиатскому регионам

Файлы

RedCurl.SVG

RedCurl.ISO

RedCurl.LNK

RedCurl.SimpleDownloader

RedCurl.Downloader

RedCurl.FSABIN

Файловые пути

• %APPDATA%\VirtualStore\ChromeBrowser_{BASE64_COMPUTERNAME}.exe
• %LOCALAPPDATA%\VirtualStore\sm_{BASE64_COMPUTERNAME}.exe
• %LOCALAPPDATA%\VirtualStore\amz_{BASE64_COMPUTERNAME}.exe
• %LOCALAPPDATA%\VirtualStore\seek_{BASE64_COMPUTERNAME}.exe
• %APPDATA%\VirtualStore\ChromeC_{BASE64_COMPUTERNAME}.exe
• %APPDATA%\VirtualStore\Chrome_{BASE64_COMPUTERNAME}.exe
• %APPDATA%\VirtualStore\*
• %LOCALAPPDATA%\VirtualStore\*

Запланированные задачи

Action list:

• pcalua.exe -a %APPDATA%\VirtualStore\ChromeBrowser_{BASE64_COMPUTERNAME}.exe -c 6VPZ9g2OX4pHebY7so
• %LOCALAPPDATA%\VirtualStore\sm_{BASE64_COMPUTERNAME}.exe bXThqHtrJrDFssgViOM
• %LOCALAPPDATA%\VirtualStore\amz_{BASE64_COMPUTERNAME}.exe EfsFlOEorrkmwSGh
• %LOCALAPPDATA%\VirtualStore\seek_{BASE64_COMPUTERNAME}.exe OZsP5S14F30UE5XsP
• pcalua.exe -a %APPDATA%\VirtualStore\Chrome_{BASE64_COMPUTERNAME}.exe -c NjxDZUH2wI2fw
• pcalua.exe -a %APPDATA%\VirtualStore\ChromeС_{BASE64_COMPUTERNAME}.exe -c xhwKuylLCdqs8

Ссылки

• hXXps://www.google[.]com/amp/s/5d17def6-607e-43a4-abd9-eb95bdadafb0.7pfc6nyj0q.workers.dev/6dc5942f-9e28-4498-878e-e2a2ff7cfd54/943449f6-af04-4797-8400-db439cd3c93f
• hXXps://www.google[.]com/amp/s/cloud.amazoncdn.workers.dev/851ba0e9-f6e3-4f95-8adb-a2126681ad33
• hXXps://www.google[.]com/amp/s/cloud.amazoncdn.workers.dev/efd64bfa-de03-4eb5-9cb5-4e860ddf98c4
• hXXps://www.google[.]com/amp/s/cloud.amazoncdn.workers.dev/47e3c54a-2f0d-4511-90fe-7d76df2b78da
• hXXps://google[.]com/amp/s/ab9f03b5-0840-4e26-88d1-da710d3eff9a.linkedincloudcv.workers.dev/5779bc89-6bb1-485b-bcea-9962398bc58b
• hXXps://www.google[.]com/amp/s/7f567b90149.d44b2afdee0ee063b4f28b5b9.workers.dev/d7db38bf-9f21-41bc-877f-478f50f9ed64/7188e057-cbfc-4986-9b5d-c43c3e9dff19
• hXXps://www.google[.]com/amp/s/7f567b90149.d44b2afdee0ee063b4f28b5b9.workers.dev/596c738d-38bc-41f5-8236-efd0fb1fcf8d/610fe71b-5482-488e-b3ae-8938b9e15c97
• hXXp://app-l07[.]servicehost[.]click/ldn21_amazon
• hXXp://clever[.]forcloudnetworks[.]online/ldn23_samsung
• hXXp://app-l07[.]servicehost[.]click/ldn22_samsung
• hXXp://app-l07[.]servicehost[.]click/ldn20_seek
• hXXp://fiona[.]forcloudnetworks[.]online/ldn25_cv_au
• hXXps://au-01b09387-e789-4f13-922b-269339dc9d79[.]soulbirth[.]com[.]au\cldavroot
• hXXps://ca-02a0b6cb-234d-4944-92f4-5fa0f32c5a36[.]unitgrapigs[.]com\cldavroot
• hXXps://hk-1761-4289-889b-75c0fec903cb[.]bmrresources[.]com\cldavroot
• hXXps://srv-au-01[.]palvelin[.]net/dn-26wd-au-02/

Домены

• au-01b09387-e789-4f13-922b-269339dc9d79[.]soulbirth[.]com[.]au
• ca-02a0b6cb-234d-4944-92f4-5fa0f32c5a36[.]unitgrapigs[.]com
• hk-1761-4289-889b-75c0fec903cb[.]bmrresources[.]com
• app-l07[.]servicehost[.]click
• clever[.]forcloudnetworks[.]online
• fiona[.]forcloudnetworks[.]online
• l7-dn-01[.]servicehost[.]click
• l7-dn-02[.]servicehost[.]click
• dn-01[.]seedflowd[.]online
• dn-02[.]seedflowd[.]online

User-Agent

• Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.135 Safari/537.36 Edge/12.246001
• Mozilla/5.0 (Windows NT; Windows NT 10.0;) WindowsPowerShell/5.1.20134.790

MITRE ATT&CK®