Злонамерни софтвер ApolloShadow

ApolloShadow је софистицирани сој малвера који се користи у кампањама сајбер шпијунаже коју спроводи претња позната као Secret Blizzard. Ова група, за коју се верује да је део руске Федералне службе безбедности (ФСБ), повезана је са неколико других кодних имена, укључујући ATG26, Blue Python, Snake, Turla, Uroburos, VENOMOUS BEAR, Waterbug и Wraith. Малвер се активно користи у операцијама усмереним на осетљиве ентитете у Москви најмање од 2024. године, са јаким индикацијама да ће се ове кампање даље ширити.

Прилагођена претња: Порекло и могућности ApolloShadow-а

ApolloShadow је посебно направљен злонамерни алат дизајниран за шпијунажу. Његово распоређивање је повезано са кампањама усмереним на дипломатске институције и друге организације високе вредности, посебно оне које се ослањају на руске интернет и телекомуникационе услуге. Злонамерни софтвер се шири коришћењем напредних техника противника у средини (AiTM), где нападачи пресретају комуникацију између жртве и легитимних сервиса.

У најновијим кампањама ApolloShadow-а, AiTM техника је имплементирана на нивоу интернет провајдера (ISP). Жртве су преусмерене кроз портал за тестирање, дизајниран да имитира легитимно понашање Windows-а. Када се активирао индикатор статуса тестне повезаности Windows-а, уместо приступа стандардној страници за верификацију, корисник је послат на домен који контролишу нападачи. Ово преусмеравање је довело до упита који је подстакао корисника да инсталира лажни root сертификат, често прикривен као реномирани безбедносни програми, како би се покренуо ланац инфекције.

Кршење безбедности: Како ApolloShadow угрожава уређаје

Инсталација коренског сертификата је кључни тренутак који омогућава ApolloShadow-у приступ систему. Када је активан, обавља неколико операција:

• Прикупља информације о уређају и мрежи, укључујући ИП адресе.
• Покушава добијање администраторских привилегија путем лажног промпта за контролу корисничких налога (UAC). У примећеним случајевима, инсталатер је назван „CertificateDB.exe“.
• Приказује обмањујуће искачуће прозоре који указују да се сертификати инсталирају.

Након што добије повишена права, злонамерни софтвер чини заражени уређај видљивим на локалној мрежи. Затим покушава да ослаби одбрану система мењањем подешавања заштитног зида и омогућавањем дељења датотека. Да бисте заобишли безбедност прегледача:

• Прегледачи засновани на Chromium-у аутоматски верују злонамерном сертификату.
• Међутим, Фајерфокс захтева додатне измене конфигурације од стране злонамерног софтвера како би избегао откривање.

ApolloShadow такође обезбеђује дугорочни приступ креирањем трајног администраторског корисничког налога под називом „UpdatusUser“, који користи чврсто кодирану лозинку која не истиче.

Дубинска инфилтрација: Шта ApolloShadow омогућава

Сумња се да ApolloShadow омогућава TLS/SSL нападе скидања. Ови напади приморавају прегледаче да се повезују без безбедног шифровања, што омогућава злонамерном софтверу да прати активности прегледања и потенцијално прикупља осетљиве информације попут токена за пријаву и акредитива.

Прикривеност и упорност малвера чине га изузетно опасним. Његова способност да остане неоткривен док прикупља обавештајне податке и пружа даљински приступ истиче његову вредност у државно спонзорисаним сајбер операцијама.

Алати обмане: Социјални инжењеринг и вектори инфекције

Кампање ApolloShadow комбинују техничку манипулацију са друштвеним инжењерингом. Жртве се не само преусмеравају и манипулишу путем напада на нивоу мреже, већ се циљају и обмањујућим упутствима која их подстичу да инсталирају злонамерне сертификате под маском поузданог софтвера.

Иако се ApolloShadow кампање првенствено ослањају на пресретање на нивоу интернет провајдера и друштвени инжењеринг, вектори инфекције могу се проширити конвенционалнијим тактикама испоруке злонамерног софтвера.

Уобичајене методе дистрибуције злонамерног софтвера :

Обмањујуће тактике:

• Фишинг поруке (имејлови, приватне поруке, објаве на друштвеним мрежама).
• Злонамерни линкови или прилози.
• Лажна ажурирања или инсталатери софтвера.

Небезбедни извори за преузимање:

• Незванични веб-сајтови.
• Бесплатне услуге хостовања датотека.
• Платформе за дељење од равноправних до равноправних (P2P) контаката.

Поред тога, неки сојеви злонамерног софтвера, укључујући напредне алате попут ApolloShadow-а, могу се ширити преко локалних мрежа или ширити помоћу преносивих уређаја за складиштење података као што су USB дискови или екстерни чврсти дискови.

Закључак: Озбиљна претња шпијунаже

ApolloShadow представља озбиљну претњу сајбер шпијунаже са јаким геополитичким мотивацијама. Коришћењем поузданих брендова, обмањујућих напада на нивоу мреже и сталних метода приступа, Secret Blizzard је изградио моћан алат за прикупљање обавештајних података. Организације које послују у или близу региона руског утицаја, посебно оне које се ослањају на локалне интернет провајдере, морају да усвоје појачане безбедносне протоколе како би се одбраниле од ове еволуирајуће претње.