Группа APT29 скомпрометировала сайты и использует их как фильтр для мобильной аудитории: сначала собирает технический профиль посетителя, а затем запрашивает данные лишь у тех, кто представляет интерес. Такие APT29 водопойные атаки опасны тем, что человеку не нужно открывать подозрительное письмо или ставить приложение — достаточно зайти на привычный ресурс с телефона.
О кампании сообщает Dark Reading. По данным издания, атакующие после взлома сайтов проводят fingerprinting, то есть пытаются определить характеристики посетителя, прежде чем развивать атаку. Это позволяет не расходовать инфраструктуру на всех подряд и не оставлять одинаковые следы у тысяч случайных пользователей.
Водопойная атака устроена по простой, но неприятной логике. Злоумышленники не строят отдельную приманку для каждого сотрудника: они находят площадку, куда потенциальные цели уже приходят по работе или личным делам, внедряют код и ждут. Скомпрометированный сайт сохраняет привычный адрес и дизайн, поэтому базовая привычка «не переходить по ссылкам из писем» здесь почти не помогает.
Мобильный браузер особенно удобен для первичного отбора. Он передаёт серверу набор технических сигналов, необходимых для нормальной работы веба: тип браузера, версию ОС, язык, часовой пояс, разрешение экрана и другие параметры окружения. По сочетанию таких признаков нельзя автоматически назвать человека по имени, но можно отделить интересующий сегмент от массового трафика: например, посетителей с определённой платформой, языковыми настройками или корпоративным паттерном использования.
Дальше начинается самая важная часть схемы: сбор информации не обязательно выглядит как немедленная установка вредоносного ПО. Атакующие могут выдать нужному посетителю другой контент, дополнительную проверку или запрос, а остальных оставить на обычной странице. Для защитников это означает, что разовый анализ заражённого сайта может ничего не показать: вредоносная логика способна срабатывать только при определённом наборе условий.
APT29 в сообщении Dark Reading названа российской группой, связанной с государственным спонсированием. Для таких операторов ценность кампании обычно не в широком охвате, а в точном доступе к данным, аккаунтам и рабочим коммуникациям отдельных людей. Поэтому выборочный подход рационален: меньше шума, меньше шансов, что случайный посетитель заметит аномалию и передаст её исследователям.
Для команд разработки это ещё один аргумент относиться к веб-сайту как к части периметра, а не только к витрине бизнеса. Нужны контроль изменений клиентского JavaScript, инвентаризация внешних скриптов, защита административных учётных записей и мониторинг необычных редиректов или запросов с публичных страниц. Если сайт обслуживает клиентов или сотрудников с мобильных устройств, его компрометация может стать точкой входа в чужую охоту за целевыми пользователями.
ИТ-директорам и безопасникам стоит проверить, какие внешние сайты регулярно посещают сотрудники с корпоративных смартфонов и где организация зависит от веб-порталов партнёров. Полезно заранее определить, кто отслеживает подозрительные сетевые события на мобильных устройствах, как быстро блокируются опасные домены и каким каналом сотрудники сообщают о странных страницах. В случае с водопоем пользователь нередко видит не явный фишинг, а чуть необычную версию знакомого сайта — и именно это делает инцидент неудобным для традиционных инструкций.
APT29 водопойные атаки показывают сдвиг от массовой доставки вредоносного контента к тихой селекции жертв. Главный вопрос для компаний теперь не только в том, смогут ли они заблокировать известный вредоносный домен, но и заметят ли они момент, когда доверенный сайт начинает по-разному вести себя с разными посетителями.
