Хакеры стали активно использовать крупнейшую игровую онлайн-площадку Steam для организации кибератак, выяснили эксперты центра исследования киберугроз Solar 4RAYS ГК «Солар». Злоумышленники создают аккаунты и прячут в их описании информацию о серверах управления вредоносным ПО. Тогда вирус из зараженной инфраструктуры обращается не напрямую к подозрительному IP-адресу, а к легальному ресурсу. Это значительно усложняет выявление вредоносной активности и своевременную блокировку атаки. Поэтому ИБ-отделам компаний стоит внимательно относиться даже к такой, казалось бы, легальной активности из корпоративной сети.
Такая хакерская техника называется Dead Drop Resolver. Она предполагает, что злоумышленники размещают на легитимных онлайн-площадках контент с данными о C&C-сервере (С2, с него осуществляется управление вредоносным ПО). Эта информация может публиковаться как в зашифрованном виде, так и открытым текстом. Вредоносное ПО после заражения целевой инфраструктуры обращается к этому ресурсу и извлекает из него адрес управляющего сервера (С2). Пока через Steam преимущественно распространяют вирусы-стилеры, однако схема может использоваться для любого ВПО. Среди сайтов, которые используют хакеры, также Pastebin (платформа для публикации текста или кода), X (бывший Twitter, запрещена в РФ), YouTube, мессенджер Telegram и другие. В целом, атакующие постоянно придумывают новые способы маскировки своей вредоносной деятельности — и в рамках SOC Forum, который пройдет в Москве в начале ноября, команда Solar 4RAYS расскажет о самых необычных техниках и тактиках, с которыми встречается во время расследований.
«Dead Drop Resolver позволяет злоумышленникам создать более устойчивую C2-инфраструктуру, так как они могут в любой момент обновить информацию о доступном командном сервере. А обращение к легальному ресурсу из корпоративной сети не вызывает особых подозрений. Также во вредоносном файле, который заражает компьютер жертвы, отсутствует явное указание на командный сервер или конфигурацию ВПО. Сейчас Steam особенно активно используется для распространения следующих стилеров: MetaStealer, Vidar, Lumma и ACR. Вероятно, со временем такой способ распространения подхватят и другие разработчики ВПО, если только площадки не найдут способ быстро обнаруживать и блокировать вредоносные профили», — пояснил аналитик центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Степанов.
Указанные стилеры крадут разнообразную информацию: учетные данные и данные браузера, установленный на устройстве софт, список запущенных на устройстве процессов, переписки в мессенджерах и почте, криптокошельки и другое. Последствия от запуска подобного вредоносного ПО в инфраструктуре могут быть критичными для компании. Поэтому службам безопасности компаний стоит внимательнее относиться к случаям запросов к Steam из корпоративной сети. Скорее всего, это свидетельство деятельности ВПО.
О компании
Группа компаний «Солар» — архитектор комплексной кибербезопасности. Ключевые направления деятельности — аутсорсинг ИБ, разработка собственных продуктов, интеграция комплексных решений, обучение ИБ-специалистов, аналитика и исследование киберинцидентов.
С 2015 года предоставляет ИБ-решения организациям от малого бизнеса до крупнейших предприятий ключевых отраслей. Под защитой «Солара» — более 1000 крупнейших компаний России. Компания работает в направлениях безопасной разработки программного обеспечения, управления доступом, защиты корпоративных данных, детектирования хакерских атак и угроз, что позволяет закрывать максимум потребностей заказчиков.
Группа компаний предлагает сервисы первого и крупнейшего в России коммерческого SOC — Solar JSOC, экосистему управляемых сервисов ИБ — Solar MSS. По данным независимых аналитиков, «Солар» входит в топ-5 европейских и топ-15 мировых сервис-провайдеров по объему бизнеса.
Работа Центра исследования киберугроз Solar 4RAYS нацелена на изучение тактик киберпреступников. Полученные аналитические данные обогащают разработки Центра технологий кибербезопасности.
Линейка собственных продуктов включает DLP-решение Solar Dozor, шлюз веб-безопасности Solar webProxy, межсетевой экран нового поколения Solar NGFW, IdM-систему Solar inRights, PAM-систему Solar SafeInspect, анализатор кода Solar appScreener и другие. Также ГК «Солар» развивает платформу для практической отработки навыков защиты от киберугроз «Солар Кибермир».
Группа компаний «Солар» инвестирует в развитие отрасли кибербезопасности и помогает решать проблему кадрового дефицита. Для поддержки молодых технологичных проектов и насыщения рынка технологиями созданы венчурный фонд Solar Ventures и программа CyberStage. Совместно с Минцифры России в рамках национального проекта «Цифровая экономика Российской Федерации» реализует всероссийскую программу кибергигиены, направленную на повышение цифровой грамотности населения.
Под защитой «Солара» находятся крупнейшие государственные информационные системы, а также экономические и общественно-политические события в России, в том числе международного уровня.
Штат компании — более 2000 специалистов. Подразделения «Солара» расположены в Москве, Санкт-Петербурге, Нижнем Новгороде, Самаре, Ростове-на-Дону, Томске, Хабаровске и Ижевске. Технологии компании и наличие распределенных по всей стране центров компетенций позволяют ей работать в режиме 24/7.
