Проведенное Check Point Research годичное расследование связало три кластера кибершпионажа, связанных с Китаем и нацеленных на правительственные организации, телекоммуникационные компании и объекты критической инфраструктуры по всей Европе, Азии и Латинской Америке. Хотя части этой активности ранее освещались отдельно, более масштабное расследование открывает новые сведения и связи через общие вредоносные программы и инфраструктуру, указывая на более широкую экосистему, связанную с субъектом, который Check Point Research отслеживает под именем «CopperDragon».
CopperDragon может действовать как цифровой квартирмейстер, разрабатывая или поставляя вредоносное ПО и инфраструктуру для множества изощренных киберпреступных группировок из Китая. Изучая связи между этими кампаниями, Check Point Research дает более широкое представление об экосистеме шпионажа, охватывающей среды Windows и Linux, различные регионы и некоторые из наиболее стратегически важных секторов мировой экономики.
Рисунок 1 – Географическое распределение жертв фреймворка Sparrow.
Основные выводы
- Check Point Research связала три операционных кластера в Латинской Америке, Азии и Европе, нацеленных на правительственные, телекоммуникационные, военные, исследовательские организации и объекты критической инфраструктуры.
- CopperDragon может выступать в роли цифрового квартирмейстера, поставляя вредоносное ПО и инфраструктуру нескольким китайским угрозоносителям, использующим фреймворк Sparrow.
- Активность наблюдалась в 21 стране, причем исследование расширило круг известных жертв и выявило ранее не задокументированную активность в Азии, включая особый упор на Индию.
- Исследователи обнаружили ранее не задокументированные вредоносные программы для Windows и Linux, включая SquadC, AnnobinDoor и SparrowShell, а также новые подробности о фреймворке Sparrow.
- Злоумышленники использовали различные методы проникновения: от скомпрометированных серверов, смотрящих в интернет, до целевых атак типа «водопой» (watering-hole) с использованием поддельных предупреждений сертификатов браузера.
Что такое CopperDragon?
CopperDragon — это имя, которое Check Point Research использует для отслеживания структуры, стоящей за вредоносным фреймворком Sparrow. Она может выступать в качестве разработчика и поставщика, поддерживающего несколько связанных с Китаем субъектов угрозы. Исследование предполагает, что вредоносное ПО и инфраструктура, ассоциированные с CopperDragon, используются в операциях, проводимых различными китайскими группировками, а не отражают деятельность какого-то одного конкретного злоумышленника.
Картина началась с FamousSparrow, ранее связаной с Salt Typhoon, группировкой, впервые идентифицированной в 2021 году и связанной с бэкдором SparrowDoor. В последующие годы родственное вредоносное ПО и инфраструктура появились в деятельности других китайских группировок, включая Earth Estries, TropicTrooper и UAT-9244. Изучив эти связи, Check Point Research выявила признаки общей экосистемы вредоносного ПО, которая может поддерживать множество операторов.
Это различие также важно для атрибуции. Наличие одного и того же вредоносного ПО или инфраструктуры управления и контроля (C&C) в двух разных инцидентах не обязательно означает, что они были совершены одной и той же группировкой. Вместо этого CopperDragon может представлять собой общего поставщика, что помогает объяснить, почему связанные инструменты и инфраструктура появляются в совершенно разных шпионских кампаниях.
Что Check Point Research выяснила о CopperDragon?
Расследование связывает активность, которая ранее относилась к отдельным кампаниям и группировкам, обеспечивая более широкое понимание того, как экосистема вредоносного ПО Sparrow используется по всему миру. Check Point Research разделила эту активность на три операционных кластера: SilentDelivery, OceanGate и DarkWire — на основе различий в целях, географии, вредоносном ПО и методах атак.
Исследование также расширяет известный масштаб активности. Check Point Research определила более широкий круг затронутых стран и секторов, выявила ранее не задокументированную активность в Азии с особым акцентом на Индию, а также обнаружила новые, ранее не описанные вредоносные программы для Windows и Linux. Среди новых находок — SquadC, AnnobinDoor и SparrowShell, а также дополнительные детали о пассивном бэкдоре Sparrow и его возможностях на уровне ядра.
В совокупности эти выводы подкрепляют гипотезу о CopperDragon как о возможном цифровом квартирмейстере, предоставляющем вредоносное ПО или инфраструктуру, которые различные китайские операторы могут внедрять в свои собственные кампании. Это дает еще один способ понимания активности, которая при рассмотрении в виде отдельных атак могла бы показаться несвязанной.
Куда направлены атаки CopperDragon?
Check Point Research зафиксировала активность, связанную с CopperDragon, в 21 стране Латинской Америки, Европы и Азии. Целями стали провайдеры телекоммуникационных услуг, правительственные организации, военные структуры, научно-исследовательские институты и объекты критической инфраструктуры. В ходе расследования эта активность была разделена на три кластера в зависимости от географии, инструментов и методов атак.
- Кластер SilentDelivery сосредоточен в основном в Европе и Азии и использует высокоизбирательные атаки типа «водопой», в том числе в Германии, Франции и Чехии. Злоумышленники компрометируют легитимные веб-сайты, связанные с такими секторами, как государственное управление, судоходство, IT и исследования, а затем выборочно показывают посетителям мошеннические предупреждения сертификатов Chrome. Жертв, следующих инструкциям, обманом заставляют загрузить предполагаемую утилиту для восстановления сертификата, которая вместо этого устанавливает бэкдор SquadC или, в некоторых случаях, вариант SparrowDoor.
Рисунок 2 – Цепочка заражения SilentDelivery.
- Кластер OceanGate действует преимущественно в Азии и включает в себя ранее не задокументированную активность с особым упором на Индию. В ходе наблюдавшихся вторжений злоумышленники взламывали системы Linux, смотрящие в интернет, и развертывали кастомные бэкдоры, после чего собирали учетные данные и переходили в среды Windows. Эта кампания дает дополнительное представление о сфере, которой уделялось сравнительно мало внимания: как субъекты, связанные со Sparrow, работают одновременно в системах Linux и Windows в рамках одного вторжения.
Рисунок 3 – Кластер OceanGate: схема цепочки атак на Linux.
- Кластер DarkWire сосредоточен в основном в Латинской Америке, хотя более свежие инциденты указывают на активность за пределами этого региона. Он нацелен на телекоммуникационные компании и правительственные организации с использованием недавно выявленного вредоносного ПО, включая CopperDoor и CopperDNS, а также инструментов, предназначенных для сбора учетных данных, внутренней разведки и перемещения по сети.
Рисунок 4 – Набор инструментов DarkWire.
Почему объектами атак становятся правительственные и телекоммуникационные организации?
Правительственные и телекоммуникационные организации представляют значительную разведывательную ценность для шпионских операций. Компрометация правительственной сети может раскрыть конфиденциальную информацию, учетные данные и каналы связи, а постоянный доступ создает возможности для непрерывного сбора разведывательных данных.
Поставщики телекоммуникационных услуг представляют собой исключительно ценные цели для кибершпионажа. Если скомпрометировать одного из них, злоумышленники получают обзор, далеко выходящий за рамки самого оператора. В зависимости от того, к каким системам они получают доступ, они могут собирать записи о деталях вызовов (CDR), которые показывают, кто с кем общается, когда и как долго. Они могут отслеживать местоположение абонентов и читать SMS-сообщения. В некоторых средах доступ может распространяться на системы законного перехвата, раскрывая информацию о том, за какими лицами следят государственные и правоохранительные органы.
Это делает концентрацию активности DarkWire в Латинской Америке особенно значимой. Атаки происходят на фоне растущей стратегической и экономической конкуренции с участием Китая, США и стран всего региона. Хотя технические доказательства не подтверждают геополитическую мотивацию отдельных атак, разведывательная ценность телекоммуникационной и государственной инфраструктуры делает эти сектора важными целями для сложных шпионских операций.
Как CopperDragon компрометирует организации?
Три кластера показывают, что связанные с CopperDragon хакеры используют множество путей проникновения в целевые организации, а не полагаются на какой-то один метод атаки. Их методы варьируются от эксплуатации уязвимой общедоступной инфраструктуры до скомпрометированных веб-сайтов и целенаправленной социальной инженерии.
SilentDelivery предоставляет один из самых наглядных примеров. Злоумышленники компрометируют легитимные веб-сайты и внедряют сильно обфусцированный JavaScript, который взаимодействует с контролируемой ими инфраструктурой. Выбранным посетителям затем может быть показана фальшивая ошибка сертификата Chrome с инструкцией установить исправление сертификата. Вместо этого загрузка доставляет SquadC или, в некоторых случаях, SparrowDoor, позволяя злоумышленникам закрепиться в системе.
OceanGate демонстрирует другой подход. Злоумышленники сначала эксплуатируют уязвимые доступные из интернета системы Linux и развертывают кастомные вредоносные программы, включая AnnobinDoor и SparrowShell. Троянизированные компоненты SSH затем могут перехватывать учетные данные во время административной активности, позволяя злоумышленникам перемещаться между хостами Linux и в конечном итоге проникать в среды Windows.
Оказавшись внутри сетей Windows, хакеры используют дополнительные инструменты для разведки, кражи учетных данных и поддержания доступа. К ним относятся CopperLogger для перехвата нажатий клавиш и активности буфера обмена, CopperLsa для кражи данных аутентификации и CopperList для сбора информации о системе и файлах.
Исследование также выявило методы, призванные затруднить обнаружение постоянного доступа. SparrowShell может интегрироваться с модифицированным руткитом Reptile, который скрывает процессы, файлы и сетевую активность в Linux, в то время как некоторые варианты SparrowDoor используют WinDivert для перехвата сетевого трафика. Это позволяет вредоносным коммуникациям маскироваться под трафик легитимных служб и иллюстрирует, почему видимость активности конечных точек, серверов и сети важна при защите от сложных шпионских операций.
Рисунок 5 – Страница с фальшивой ошибкой сертификата Chrome и добавленной кнопкой «Установить сертификат».
Рисунок 6 – Новая версия ошибки сертификата Chrome на разных языках.
Как организации могут защититься от вредоносного ПО CopperDragon и Sparrow?
Разнообразие кампаний CopperDragon показывает, почему организациям необходима защита на уровне сетей, конечных точек, электронной почты и инфраструктуры, смотрящей в интернет. Наблюдаемые атаки могут начинаться с эксплуатации незащищенного сервера, скомпрометированного веб-сайта или целевого фишинга, а затем развиваться через кражу учетных данных и латеральное перемещение как в средах Linux, так и в Windows.
Организациям следует уделять первоочередное внимание нескольким защитным мерам:
- Защита инфраструктуры, смотрящей в интернет: поддерживайте актуальный перечень уязвимых систем, оперативно устраняйте известные уязвимости и отслеживайте подозрительные процессы, активность аутентификации и соединения на серверах, выходящих в интернет.
- Защита пользователей от вредоносных загрузок, фишинга и скомпрометированных сайтов: средства безопасности должны проверять ссылки, веб-сайты, файлы и загрузки, особенно неожиданные утилиты, такие как исправления сертификатов или обновления ПО, доставляемые через веб-сайт.
- Обнаружение кражи учетных данных и активности на конечных точках: отслеживайте вредоносную загрузку DLL, дамп учетных данных, кейлоггинг, механизмы закрепления и подозрительное использование в остальном легитимных административных инструментов.
- Ограничение и мониторинг латерального перемещения: активность RDP, SMB и SSH должна быть ограничена системами и учетными записями, которым она необходима, а аномальный административный доступ должен оперативно расследоваться.
- Проверка сетевых коммуникаций и DNS: мониторинг DNS, трафика командного центра и необычных исходящих соединений может помочь выявить бэкдоры, туннелирование и другие коммуникации, предназначенные для маскировки под легитимный трафик.
Для клиентов Check Point Check Point Exposure Management может помочь организациям выявить уязвимости и расставить приоритеты для слабых мест на поверхности атаки, особенно в отношении открытых и уязвимых активов, которые могут обеспечить первоначальную точку входа. Это особенно актуально для кампаний CopperDragon, где эксплуатация инфраструктуры, смотрящей в интернет, была одним из методов начального доступа, зафиксированных Check Point Research. Решение также находит похожие домены, вредоносные фишинговые сайты и имитацию брендов в приложениях, социальных сетях и других каналах, чтобы группы безопасности могли заблокировать их до того, как злоумышленники используют их для доступа к сотрудникам или клиентам.
Платформа Check Point’s Workspace Security обеспечивает защиту конечных точек и поведенческое обнаружение, которые могут помочь выявить вредоносное ПО и активность после эксплуатации, аналогичную той, что наблюдалась в кампаниях CopperDragon. Помимо идентификации вредоносных программ и активности постэксплуатации на конечных точках, возможности защиты браузера помогают защитить пользователей от веб-угроз, вредоносных сайтов и загрузок, что особенно актуально для атак типа водопой (watering hole), зафиксированных в SilentDelivery. Check Point Browser Security позиционируется компанией Check Point как часть ее предложений по безопасности рабочих пространств и конечных точек. Check Point Email and Collaboration обеспечивает дополнительный уровень защиты от фишинга и вредоносного контента, используемого для получения первоначального доступа.
На сетевом уровне Check Point Network Security предоставляет средства защиты, которые помогают обнаруживать и блокировать вредоносную активность, связанную с этими цепочками атак. Такие возможности, как предотвращение вторжений, защита от ботов, антивирус, эмуляция угроз и безопасность DNS, обеспечивают защиту от попыток эксплуатации, вредоносных файлов и коммуникаций с командными центрами.
Расследование CopperDragon подчеркивает важность выхода за рамки отдельного образца вредоносного ПО или имени хакерской группировки. Выявляя общие фреймворки и инфраструктуру, стоящие за кажущимися разрозненными операциями, защитники могут лучше понять, как инструменты перемещаются по более широкой экосистеме угроз, связанных с Китаем, и определять связи между атаками, которые в противном случае могли бы показаться не связанными между собой.
Полный технический анализ читайте в исследовании от Check Point Research here.
