APT28 атаковала судостроителя НАТО и развернула новый рефлективный загрузчик

Исследователи Symantec Threat Hunter Team связали серию атак на две страны — члена НАТО с группировкой APT28, которую также называют BlueDelta, Fancy Bear и Forest Blizzard. Кампания, получившая внутреннее обозначение Swallowtail, затронула в том числе компанию — судостроителя, выполняющую работы для военно-морских сил. Инцидент важен тем, что демонстрирует сохраняющийся интерес APT28 к оборонной промышленности и флотской тематике, а также появление в арсенале группировки новых инструментов скрытности.

Подробности

По данным Symantec, в ходе атак злоумышленники применяли бэкдор HOOKEDGE, а также ранее не документированный рефлективный загрузчик. Такой тип загрузчика позволяет внедрять и исполнять полезную нагрузку непосредственно в памяти процесса, не оставляя исполняемых файлов на диске, что затрудняет обнаружение средствами антивирусной защиты и упрощает уклонение от форензик-анализа. Атаки были направлены против двух государств — членов НАТО; одна из целей — судостроительное предприятие, связанное с военно-морским флотом. Конкретные версии затронутых продуктов, идентификаторы CVE и точные названия жертв в исходном сообщении не раскрываются. Кампания отслеживается Symantec под именем Swallowtail и приписывается APT28 — актору, спонсируемому российским государством.

Что делать

С учётом характера угрозы организациям оборонного и судостроительного сектора рекомендуется усилить мониторинг признаков присутствия HOOKEDGE и активности рефлективных загрузчиков, в том числе аномалий в поведении процессов и подозрительных инъекций в память. Следует ограничить горизонтальное перемещение внутри сети, ужесточить контроль привилегированного доступа и многофакторную аутентификацию (MFA) для критичных систем, а также сегментировать сети, связанные с производственными и конструкторскими системами. Полезно проверить журналы на предмет подозрительной активности, сопоставимой с TTP группировки APT28, и обеспечить своевременное обновление средств защиты. Для подрядчиков и предприятий с чувствительными оборонными заказами оправдано повышение уровня мониторинга и готовности к реагированию на инциденты. Инцидент подтверждает, что APT28 продолжает целенаправленные операции против оборонной инфраструктуры НАТО и совершенствует инструменты скрытого развёртывания вредоносного кода. Организациям из зоны риска стоит рассматривать такие кампании как постоянную угрозу и выстраивать защиту с расчётом на длительное противостояние.

Источник: The Hacker News