Изначально специалисты ZecOps расследовали ряд атак на VIP-пользователей iOS. Самые ранние из этих атак датированы январем 2018 г. «Суть атаки сводится к отправке специального почтового сообщения жертвам, которое эксплуатирует уязвимость в контексте iOS MobileMail в iOS 12 или maild в iOS 13», — говорится в заявлении экспертов.

Первая из уязвимостей относится к классу «запись за пределами выделенного буфера памяти» (Out-of-bounds Write), вторая — к классу «удаленное переполнение кучи» (Remote Heap Overflow). Их эксплуатация позволяет в теории удаленно запускать произвольный код на скомпрометированных устройствах и как следствие просматривать, редактировать или удалять почтовые сообщения.

«Дополнительные уязвимости в ядре позволят получить полный доступ к устройству; у нас есть подозрения, что в распоряжении этих злоумышленников есть еще одна уязвимость», — указывают эксперты.

По их данным, эксплуатацией багов занимается как минимум одно национальное государство, чьи кибервойска «приобрели эксплойт на стадии Proof-of-Concept и используют его в оригинальном виде или с минимальными изменениями».

«В то время как ZecOps предпочитает воздерживаться от прямого отождествления этих атак с каким-то конкретным актором, нам известно, что как минимум одна наемническая хакерская организация продает эксплойты к уязвимостям, использующим почтовые адреса в качестве главного идентификатора», — говорится в исследовании.

Среди жертв, по данным ZecOps, оказались представители североамериканской организации, входящей в Fortune 500, директор одной из телекоммуникационных компаний в Японии, некая важная персона из Германии, работники компаний — сервис-провайдеров из Саудовской Аравии и Израиля, журналист из Европы, и, возможно, директор неназванной швейцарской корпорации.

Все версии, начиная с шестой

Уязвимости присутствовали в iOS с версии 6, выпущенной в 2012 г. Впервые эксплуатация была отмечена в январе 2018 г., жертвой стал обладатель устройства под управлением iOS 11.2.2. По всей видимости, уязвимости затрагивают все версии iOS, начиная с 6 и заканчивая самой актуальной — 13.4.1.

По мнению исследователей, атака на пользователей iOS 13 может быть произведена в фоновом режиме, без какого-либо участия пользователя, поскольку почтовый клиент скачивает все сообщения автоматически. Угроза для пользователей iOS 12 чуть меньше: для эксплуатации уязвимости нужно, чтобы жертва открыла почтовое сообщение. Однако если злоумышленникам каким-то образом удается получить контроль над почтовым сервером, атаку можно произвести тоже без малейшего содействия со стороны жертвы.

Apple выпустила бета-версию обновления iOS 13.4.5, устраняющую обе проблемы. Вероятнее всего, в скором времени обновление станет официальным и будет централизованно разослано всем пользователям устройств под iOS.

В компании также заявили, что сами по себе эти уязвимости не могут привести к полной компрометации устройств, что косвенно подтверждают и эксперты ZecOps. Так что нет смысла рассматривать их как критичные. Обновление будет выпущено штатным порядком, объявили в Apple.

«Утверждения представителей Appleо том, что уязвимости не столь опасны, скорее всего, более-менее соответствуют действительности, поскольку в iOS защита многослойная, — считает Михаил Зайцев, эксперт по информационной безопасности компании SEC Consult Services. — В этом, однако, заключается и плохая новость: следовательно, существует еще какая-то неизвестная уязвимость, в присутствии которой эти две становятся критически опасными. Остается надеяться, что ее в ближайшее время обнаружат и устранят».

Для проникновения в инфраструктуру злоумышленники использовали три основных вектора атак: фишинговые рассылки с вредоносным вложением, эксплуатацию веб-уязвимостей и взлом инфраструктуры подрядных организаций, информацию о которых хакеры собирали в том числе из открытых источников. Тщательное предварительное исследование предшествовало и подготовке фишинговых рассылок, на что указывает уровень их проработки: письма были адаптированы под специфику деятельности конкретного ФОИВ и содержали темы, соотносящиеся с актуальными задачами организаций.

Проникнув внутрь инфраструктуры, злоумышленники собирали информацию об устройстве сети и о ключевых сервисах. Чтобы получить максимальный контроль, они стремились атаковать рабочие станции ИТ-администраторов с высокими привилегиями доступа и системы управления инфраструктурой. При этом киберпреступники обеспечивали себе достаточно высокий уровень скрытности за счет использования легитимных утилит, недетектируемого вредоносного ПО и глубокого понимания специфики работы средств защиты информации, установленных в органах власти.

После полной компрометации инфраструктуры целью злоумышленников был сбор конфиденциальной информации со всех интересующих их источников: с почтовых серверов, серверов электронного документооборота, файловых серверов и рабочих станций руководителей разного уровня.

Выявленные атаки отличают несколько характерных особенностей. Во-первых, разработанное злоумышленниками вредоносное ПО использовало для выгрузки собираемых данных облачные хранилища российских компаний Yandex и Mail.ru Group. Сетевую активность хакеры маскировали под легитимные утилиты Yandex Disk и Disk-O. Подобное вредоносное ПО ранее нигде не встречалось.

Во-вторых, на стадии подготовки к атакам хакеры явно изучили особенности администрирования одного из популярнейших российских антивирусов и смогли использовать его легитимные компоненты для сбора дополнительной информации об атакуемой сети.

Все эти специфические черты атаки говорят о том, что злоумышленники провели тщательную предварительную подготовку и изучили как специфику деятельности российских органов госвласти, так и особенности российских инфраструктур.

Игорь Ляпунов, вице-президент «Ростелекома» по информационной безопасности, сказал: «Эффективное противодействие подобным кибергруппировкам возможно только при сочетании нескольких факторов: богатого опыта обеспечения безопасности органов государственной власти, расширенного стека технологий по выявлению современных атак и сильной экспертной команды, способной на круглосуточное противодействие современным группировкам».

Весь сетевой трафик вредоноса сжимается с помощью ZLib и шифруется с помощью сразу трех алгоритмов. Шифруются также данные внутри тела вредоноса и все ресурсы, которые он выгружает в зараженную систему. Это явно сделано для того, чтобы пресечь попытки анализа его кода и функциональности.

RotaJakiro способен определять системные привилегии текущего пользователя: root или нет. В зависимости от этого, он использует разные способы запуска и по-разному обеспечивает устойчивое пребывание в системе.

Вопрос расширений

Операторы RotaJakiro могут использовать его для вывода системных данных и других значимых сведений и доустанавливать и запускать дополнительные плагины с разной функциональностью в 64-битных системах. О каких именно функциях идет речь, остается пока загадкой.

«RotaJakiro поддерживает 12 различных функций, три из которых связаны с запуском определенных плагинов. Однако мы не видели самих плагинов и потому не знаем их истинного назначения», — отметили авторы исследования. Открытым также остается вопрос, как именно RotaJakiro распространяется, и есть ли у него какая-то особенная цель и приоритетная мишень».

«Вероятно, это намек на то, что RotaJakiro может быть лишь компонентом более широкого набора хакерских инструментов, который не ограничивается самим бэкдором и его плагинами, — полагает Алексей Водясов, технический директор компании SECConsultServices. — Впрочем, без информации о том, на что способны необнаруженные плагины, это лишь предположения. Хотя и не лишенные смысла: разработчики явно очень много ресурсов вложили в то, чтобы сделать RotaJakiro максимально неуловимым. Наверняка это делалось с расчетом на широкий спектр вероятных атак».

С 2018 г. на VirusTotal были загружены в общей сложности четыре сэмпла вредоноса — антивирусы игнорировали их всех. Теперь ситуация, вероятно, изменится.

Интересно, что контрольные серверы, выявленные специалистами Qihoo 360, были запущены в 2015 г. По мнению экспертов, RotaJakiro использует ту же инфраструктуру, что и ботнет интернета вещей Torii, впервые замеченный в сентябре 2018 г.

Torii и RotaJakiro выполняют одни и те же команды после изначальной компрометации целевой системы, имеют похожую структуру и используют одни и те же константы. Вероятнее всего, речь идет о разработках одной и той же группировки.

Полиция до сих пор не знает, кто украл биткойны, хотя детектив-инспектор Стюарт Миллс (Stuart Mills) из Национальной группы по борьбе с организованной преступностью полиции Новой Зеландии говорит, что злоумышленники «вероятно, находятся за границей» и что «преступление было частью более широкого мошенничества, нацеленного на биткойн-кошельки». Расследование того, как преступники получили ключи и куда ушли деньги, продолжается.

Хакеры украли биткойны прямо из полицейского кошелька
Полиция Новой Зеландии не в первый раз работает с криптовалютой. В прошлом году власти Новой Зеландии конфисковали BTC на сумму около 90 миллионов долларов США у Александра Винника (Alexander Vinnik), предполагаемого оператора закрытой в настоящее время криптобиржи BTC-e, который должен отсидеть пять лет тюрьмы за мошенничество с использованием криптовымогателей.

А ещё в конце 2019 года полиция Новой Зеландии конфисковала 4,2 млн долларов в криптовалютах у владельца сайтов по распространению пиратских фильмов.

В большинстве случаев злоумышленники пытаются осуществить обновление параметров, таких как user_can_register, активируя и настраивая с правами администратора опцию default_role. В случае успеха злоумышленники регистрируют пользователя с правами администратора, что позволяет им перехватить контроль над уязвимым ресурсом.

Пользователям уязвимых плагинов и тем рекомендуется убедиться, что их сайты не были скомпрометированы в ходе масштабной вредоносной кампании. Для предотвращения атак следует обновить используемое программное обеспечение до актуальных версий. Также необходимо убедиться в отсутствии зарегистрированных учётных записей с правами администратора, которым такие привилегии не должны были быть выданы. Ознакомиться с полным списком уязвимых тем, а также актуальных версий ПО, можно на сайте Wordfence.