Операция "Цифровой глаз": Китайские хакеры используют Visual Studio Code

Сложная кибершпионская операция под названием «Операция „Цифровой глаз“» была приписана предполагаемой китайской группе перспективных постоянных угроз (APT).

По словам Александара Миленкоски, старшего исследователя угроз в SentinelLabs, и Луиджи Мартире, старшего аналитика вредоносного ПО в Tinexta Cyber, кампания была направлена на крупных поставщиков ИТ-услуг в Южной Европе в период с конца июня по середину июля 2024 года.

Взлом Visual Studio Code

По мнению SentinelLabs, это «первый случай использования подобной техники предполагаемой китайской APT-группой». Функция Visual Studio Code «Удаленные туннели» была использована для поддержания командно-контрольных (C2) соединений.

Используя программное обеспечение, связанное с легитимными рабочими процессами разработки, злоумышленники смогли скрыть свою вредоносную деятельность.

Remote Tunnels предоставляет полный доступ к конечным точкам, включая выполнение команд и взаимодействие с файловой системой. Важно отметить, что исполняемые файлы были подписаны цифровой подписью Microsoft, а инфраструктура туннелей использовала серверы Microsoft Azure.

Поскольку такие инструменты являются неотъемлемой частью легальных операций, они вряд ли подвергнутся жесткому контролю со стороны систем управления приложениями и брандмауэров. Это сделало их использование «труднообнаружимым» и обеспечило высокоэффективный скрытый доступ к взломанным системам.

Задачи и цели

Атака в первую очередь была направлена на компании, управляющие данными, инфраструктурой и кибербезопасностью для крупных отраслей промышленности, что делает их основными кандидатами на шпионаж и позволяет получить доступ к организациям-клиентам.

SentinelLabs и Tinexta Cyber заявили в своем отчете, что «постоянное присутствие в этих организациях обеспечило бы участникам Operation Digital Eye стратегический плацдарм, создав возможности для вторжений во всей цифровой цепочке поставок».

Сроки и изощренность кампании указывают на то, что злоумышленник, спонсируемый государством и связанный с интересами Китая, стремится получить доступ к конфиденциальной информации и скомпрометировать критически важные ИТ-среды.

Такая стратегическая разведка может обеспечить «конкурентные преимущества» в экономической, геополитической и технологической сферах, что отражает растущую напряженность в китайско-европейских отношениях.

Вектор и развитие инфекции

Злоумышленники использовали SQL-инъекции для взлома интернет-серверов и серверов баз данных, полагаясь на автоматизированный инструмент SQLmap для использования уязвимостей.

После проникновения они развертывали веб-оболочку на базе PHP под названием PHPsert, которая использовала простые, но эффективные методы обфускации для выполнения PHP-кода, предоставленного злоумышленниками. Чтобы влиться в целевое окружение, злоумышленники маскировали файлы PHPsert под местный язык и технологический контекст.

С момента проникновения злоумышленники уделяли большое внимание разведке, используя как сторонние инструменты, такие как GetUserInfo, так и штатные утилиты Windows, например ping. Для перемещения по сети группа использовала сеансы протокола удаленных рабочих столов (RDP) и технику передачи хэша с помощью модифицированного варианта Mimikatz под названием bK2o.exe.

Дополнительный доступ осуществлялся через бэкдоры с поддержкой SSH и удаленные туннели Visual Studio Code, причем последние запускались как фоновые службы, замаскированные под легитимные процессы.

Эксплойт для туннелирования Visual Studio Code

Извлеченный конфигурационный файл winsw, используемый для запуска Visual Studio Code в качестве службы Windows, указывает на то, что злоумышленники использовали прагматичный подход. Файл ссылался на общедоступные базовые образцы с незначительными изменениями в соответствии с их незаконными целями.

После запуска Visual Studio Code параметр «tunnel» устанавливал туннели разработки на взломанные машины, доступные удаленно либо через приложение Visual Studio Code, либо через его браузерную версию vscode.dev.

SentinelLabs отметила, что нет прямых доказательств того, использовали ли злоумышленники самозарегистрированные или скомпрометированные учетные записи GitHub для аутентификации в этих туннелях.

Помимо использования Visual Studio Code в целях разработки, злоумышленники использовали инфраструктуру, принадлежащую европейскому поставщику услуг M247, наряду с серверами Azure. Эта инфраструктура - из дата-центров Microsoft в Италии, Северной и Западной Европе - помогала маскировать активность под локальную, снижая подозрения при использовании легитимных сетевых маршрутов.

Связи с китайскими операторами APT

Точная атрибуция операции «Цифровой глаз» до сих пор не установлена из-за обширного обмена кодами в китайской экосистеме APT. Однако SentinelLabs привела множество признаков, указывающих на китайское происхождение. Среди них следующие:

• Варианты веб-шелла PHPsert, один из которых содержит комментарии и фрагменты кода, написанные на упрощенном китайском языке, что свидетельствует о вероятном участии китайскоговорящих разработчиков.
• Инструмент «bK2o.exe» для операций по передаче хэша соответствует более широким шаблонам использования в известных связанных с Китаем кампаниях, таких как Operation Soft Cell и Operation Tainted Love.
• Включение bK2o.exe в состав более крупного набора инструментов под названием mimCN, который SentinelLabs наблюдала исключительно в операциях, связанных с китайскими APT-кластерами, на протяжении нескольких лет.

MimCN, состоящий из пользовательских инструментов для кражи учетных данных на базе Mimikatz, как сообщается, был создан совместными усилиями разработчиков, вероятно, под руководством «цифрового квартального мастера». Такой человек подозревается в предоставлении общих инструментов многочисленным связанным с Китаем группам угроз.

За пределами операции «Цифровой глаз

Связь между операцией «Цифровой глаз» и ранее выявленными китайскими кампаниями APT свидетельствует о долгосрочных усилиях по развитию инструментария и тактики. В частности, Granite Typhoon (ранее Gallium) и APT41 проводили схожие операции, используя общие методы управления инфраструктурой и пересекающиеся полезные нагрузки вредоносного ПО.

SentinelLabs отметила значительное совпадение между операцией Digital Eye и более ранними операциями, такими как Operation Tainted Love компании 2023 - кампания, направленная на телекоммуникационных провайдеров на Ближнем Востоке, - и Operation Soft Cell, которая проводилась в 2017-2018 годах и была направлена на телекоммуникационные компании по всему миру.

«Эти инструменты были замечены исключительно в контексте предполагаемой китайской APT-деятельности», - подтвердили в SentinelLabs.

Исследователи также предположили, что временные метки компиляции mimCN тесно совпадают с временными рамками кампаний, что придает дополнительный вес утверждениям о причастности государства.

Временной анализ показал, что вся активность в ходе операции «Цифровой глаз» происходила в будние дни с 9 утра до 9 вечера по китайскому стандартному времени (CST) - график, соответствующий обычному рабочему времени в Китае.

В то время как ныне незаконная система «996» (с 9 утра до 9 вечера, шесть дней в неделю) когда-то была распространена в китайской технологической индустрии, предполагается, что поддерживаемые правительством операции более строго придерживаются регламентированной рабочей практики.

Tinexta Cyber и SentinelLabs утверждают, что обнаружили и прервали Operation Digital Eye на начальной стадии, что, вероятно, помешало злоумышленникам достичь своей конечной цели - утечки конфиденциальных данных. Исследователи также уведомили Microsoft, чтобы решить проблему злоупотребления туннелированием Visual Studio Code и ресурсами Azure в связи с кампанией.

Предотвращение и смягчение последствий

Эксперты по кибербезопасности отмечают, что злоупотребление туннелированием Visual Studio Code является относительно редким, но мощным методом вторжения.

Хотя организациям, использующим Visual Studio Code или Azure, необходимо сохранять особую бдительность, SentinelLabs обратила внимание на более широкую проблему: разработку модульных и адаптируемых сценариев вторжений, которыми теперь делятся между собой спонсируемые государством угрожающие субъекты.

Эксплуатация таких технологий, как Visual Studio Code, при отсутствии проактивного мониторинга подчеркивает необходимость улучшения видимости конечных точек и сетей для ключевых организаций, особенно тех, которые работают в критически важных цепочках поставок или секторах киберзащиты.

По мере того как эти все более сложные методы становятся известны, межотраслевое сотрудничество будет играть важную роль в снижении рисков кибершпионажа. Угрожающие субъекты продолжают внедрять инновации, и эта кампания демонстрирует высокотехнологичные возможности, которые еще могут проявиться в будущих операциях.