Nowa fala ataków z użyciem plików JavaScript i obrazów MSI. Jak chronić infrastrukturę?
Cyberprzestępcy ponownie wykorzystują obrazy JPEG z logiem MSI do ukrywania złośliwego ładunku. Kampania opiera się na WeTransfer, Cloudflare Workers i R2. Administratorzy powinni wzmocnić monitoring i polityki wykonywania skryptów.
Specjaliści z SANS ISC zaobserwowali powrót techniki polegającej na ukrywaniu złośliwego kodu w obrazach JPEG z tłem marki MSI. Kampania, którą opisał Xavier Mertens z SANS ISC, wykorzystuje legalne usługi chmurowe do dystrybucji payloadu i może stanowić zagrożenie dla firm, których pracownicy korzystają z poczty elektronicznej i przeglądarek. W artykule wyjaśniamy, jak działa atak i jakie kroki defensywne warto podjąć.
Jak działa kampania? Łańcuch zakażenia krok po kroku
Atak rozpoczyna się od wiadomości e-mail zawierającej link do WeTransfer – legalnej platformy do przesyłania plików. Ofiara pobiera plik JavaScript o nazwie „Remittance Advice.js” (SHA256: 8a83de81fbac4eb0961f3d58982f299664a5fa4c874c7469e69f85f3fc5bd33f). Jak zauważa Mertens, plik zawiera dużą ilość kodu śmieciowego, który nie wykonuje żadnych operacji – ma na celu utrudnienie analizy.
W środku pliku znajduje się właściwy kod, który dekoduje zakodowany w ROT13 payload i zapisuje go w zmiennej środowiskowej INTERNAL_DB_CACHE. Następnie, za pomocą WMI (Windows Management Instrumentation), uruchamia PowerShell z ukrytym oknem, który wykonuje pobrany skrypt. Ten z kolei pobiera obraz JPEG z domeny workers.dev – bezpłatnej platformy Cloudflare do uruchamiania aplikacji serwerowych. W obrazie, pomiędzy znacznikami „IN-” a „-in1”, ukryty jest zakodowany w Base64 ładunek (z podmienionymi znakami „A” na „#”), który po dekodowaniu okazuje się biblioteką DLL – zmodyfikowaną wersją open-source’owej biblioteki Microsoft.Win32.TaskScheduler.
Końcowym etapem jest pobranie kolejnego pliku z domeny r2.dev (Cloudflare R2) – obrazu PNG, który prawdopodobnie zawiera kolejny payload ukryty za pomocą steganografii. Mertens zapowiedział dalszą analizę .NET loadera.
Dlaczego to ważne dla administratorów? Wykorzystanie zaufanych usług
Atakujący nie stosują zaawansowanych exploitów – polegają na technikach socjotechnicznych i legalnych narzędziach. WeTransfer, Cloudflare Workers i R2 to usługi powszechnie używane w firmach, co utrudnia blokowanie ich na firewallach czy w politykach bezpieczeństwa. Jak podkreśla badacz, „threat-actor lubi używać dobrze znanych usług do przechowywania swoich payloadów”.
Dodatkowo, wykorzystanie WMI i PowerShell do uruchomienia kodu to klasyczna technika „living off the land”, która pozwala ominąć wiele tradycyjnych zabezpieczeń. Plik JavaScript o rozmiarze ponad 2 MB, wypełniony niepotrzebnym kodem, może również prześlizgnąć się przez skanery antywirusowe, które nie analizują głęboko tak dużych plików.
Jak się bronić? Praktyczne zalecenia dla zespołów IT
W obliczu tej kampanii warto przejrzeć i zaktualizować kilka obszarów bezpieczeństwa infrastruktury:
- Ogranicz wykonywanie skryptów – rozważ wdrożenie polityk, które blokują uruchamianie plików JavaScript pobranych z internetu, zwłaszcza jeśli nie pochodzą z zaufanych źródeł. W środowisku Windows można wykorzystać AppLocker lub Windows Defender Application Control.
- Monitoruj użycie WMI i PowerShell – włącz szczegółowe logowanie (Script Block Logging, Module Logging) i zbieraj zdarzenia związane z uruchamianiem PowerShell z ukrytymi oknami. Narzędzia takie jak Sysmon mogą pomóc w wykrywaniu podejrzanych procesów.
- Edukuj użytkowników – kampania wykorzystuje WeTransfer, który jest często używany w firmach. Przypomnij pracownikom, aby nie otwierali linków ani załączników z nieoczekiwanych wiadomości, nawet jeśli pochodzą z zaufanych domen.
- Blokuj domeny workers.dev i r2.dev – jeśli w organizacji nie ma uzasadnionego biznesowego powodu do korzystania z tych usług, rozważ zablokowanie ich na poziomie proxy lub firewall. W przeciwnym razie wdróż reguły monitorowania ruchu do tych domen.
- Regularnie aktualizuj oprogramowanie – choć atak nie wykorzystuje luk w systemie, aktualne poprawki zmniejszają ryzyko innych wektorów ataku.
Co dalej? Obserwuj rozwój sytuacji
Technika ukrywania payloadu w obrazach MSI nie jest nowa – Mertens opisał podobny przypadek kilka miesięcy wcześniej. Jednak jej powrót i wykorzystanie legalnych usług chmurowych wskazują, że atakujący stale udoskonalają metody dystrybucji. Administratorzy powinni śledzić komunikaty SANS ISC oraz innych zespołów CERT, aby na bieżąco aktualizować listy wskaźników kompromitacji (IOC). W przypadku wykrycia podejrzanej aktywności warto skontaktować się z zespołem CERT lub dostawcą usług bezpieczeństwa.
