NightEagle атакует российские компании через VPN и Microsoft Exchange

За прошедший год специалисты глобальной команды экстренного реагирования на киберинциденты (GERT) «Лаборатории Касперского» расследовали несколько инцидентов, связанных с атакующими из группировки NightEagle (APT-Q-95). Эта группа активна как минимум с 2023 года и изначально была нацелена на организации в Азии. Однако в ходе последних расследований были обнаружены атаки, целями которых являются предприятия из России. Это меняет ландшафт угроз для российского бизнеса и требует повышенного внимания к защите корпоративной инфраструктуры.

Подробности

В большинстве инцидентов атакующие получали первичный доступ к корпоративной VPN, используя скомпрометированные действительные учетные записи. VPN-подключения инициировались с IP-адресов российского сегмента, связанных с туннелями Cloudflare WARP, а также с IP-адресов европейских провайдеров виртуальной инфраструктуры. Это затрудняет обнаружение вредоносной активности стандартными средствами мониторинга. Как на начальном этапе, так и в процессе развития атаки злоумышленники размещали бэкдор GhostContainer на серверах Microsoft Exchange. Он включает компоненты из нескольких проектов с открытым исходным кодом: туннель Neo-reGeorg, эксплойт для уязвимости CVE-2020-0688 и класс GhostWebShell утилиты ysoserial. Все эти компоненты находятся в открытом доступе на GitHub. Точный способ доставки бэкдора на серверы Microsoft Exchange установить не удалось. С высокой долей вероятности атакующие применяли уже известную технику: извлекали из конфигурации ASP.NET криптографические ключи Microsoft Exchange, перезаписывали параметр фреймворка VIEWSTATE и внедряли в него полезную нагрузку, которая затем запускала в памяти бэкдор GhostContainer. Бэкдор представляет собой .NET-сборку, содержащую три класса:

• Stub — обрабатывает команды с сервера управления, передаваемые в заголовках x-owa-urlpostdata, а также обходит защиту Antimalware Scan Interface (AMSI) и механизмы журнала событий Windows (Event Log) путем перезаписи адресов в amsi.dll и ntdll.dll;
• App_Web_843e75cf5b63 — принимает параметры fakePath и fakePageName и создает виртуальные пути, осуществляющие перенаправление запросов классу App_Web_8c9b251fb5b3;
• App_Web_8c9b251fb5b3 — реализует функциональность перенаправления сетевого трафика (прокси) и переадресации сокетов.

Продукты «Лаборатории Касперского» детектируют бэкдор GhostContainer с вердиктом Trojan.MSIL.GhostContainer.gen. Получив достаточные привилегии, злоумышленники осуществляют горизонтальное перемещение во внутреннем сегменте инфраструктуры с использованием протокола RDP. Для этого они скачивают и запускают утилиты для туннелирования и перенаправления сетевого трафика. Для размещения архивированных инструментов атакующие использовали репозитории на GitHub.

Что делать

Для защиты от атак NightEagle рекомендуется:

• Провести аудит учетных записей VPN: убедиться, что используются сложные пароли, включена MFA и отсутствуют скомпрометированные учетные данные. Регулярно проверять журналы подключений на предмет подозрительных IP-адресов, особенно связанных с Cloudflare WARP и европейскими провайдерами виртуальной инфраструктуры.
• Обновить Microsoft Exchange до актуальной версии и установить все патчи безопасности, особенно устраняющие CVE-2020-0688. Проверить конфигурацию ASP.NET на предмет компрометации криптографических ключей и параметра VIEWSTATE.
• Ограничить использование RDP внутри сети, применять сегментацию и принцип минимальных привилегий. Настроить мониторинг горизонтального перемещения и аномальной активности.
• Использовать решения для защиты конечных точек и серверов, способные детектировать GhostContainer (например, продукты «Лаборатории Касперского» с вердиктом Trojan.MSIL.GhostContainer.gen).
• Проводить регулярное обучение сотрудников и мониторинг репозиториев GitHub на предмет несанкционированного размещения инструментов.

Итог: группировка NightEagle расширяет географию атак, и российским компаниям необходимо срочно усилить защиту VPN-доступа и серверов Microsoft Exchange, чтобы предотвратить компрометацию инфраструктуры.

Источник: Kaspersky Securelist RU