Бэкдор MarsSnake: скрытый киберинструмент для глобального шпионажа

Возникает еще одна цифровая угроза

Когда речь заходит о глобальном кибершпионаже, недавно обнаруженный бэкдор, известный как MarsSnake , привлекает внимание аналитиков по безопасности. MarsSnake был связан с неуловимой группой угроз, получившей название UnsolicitedBooker , которая, как полагают, работает в связях с Китаем. Этот бэкдор всплыл во время серии кибератак, нацеленных на международную организацию, базирующуюся в Саудовской Аравии.

UnsolicitedBooker, хотя и относительно незаметен, как сообщается, использовал узконаправленные фишинговые кампании для получения первоначального доступа. Эти электронные письма составлены так, чтобы казаться законными — часто с приманкой в виде бронирования авиабилетов — и были отправлены организациям по всей Азии, Африке и Ближнему Востоку. Продолжающийся характер этих атак с задокументированными инцидентами в 2023, 2024 и снова в начале 2025 года предполагает постоянный интерес к определенным геополитическим целям.

Анатомия атаки

Метод проникновения, использованный в кампании MarsSnake, отражает хорошо спланированную операцию. Злоумышленники отправляли электронные письма, замаскированные под сообщения от Saudia Airlines, с прикрепленным файлом Microsoft Word, содержащим, по всей видимости, маршрут полета. Несмотря на то, что документ казался безобидным, он был оснащен макросом, который после включения запускал исполняемый файл smssdrvhost.exe на компьютере жертвы.

Этот файл функционирует как загрузчик, в конечном итоге устанавливая бэкдор MarsSnake. После активации MarsSnake устанавливает связь с внешним сервером управления и контроля (C&C), позволяя злоумышленникам взаимодействовать с скомпрометированной системой. Уровень доступа, предоставляемый MarsSnake, включает выполнение команд, манипулирование файлами и потенциальную установку дополнительных вредоносных программ — все это удаленно контролируется через инфраструктуру злоумышленника.

Что такое MarsSnake и почему это важно?

MarsSnake выделяется не только как бэкдор, но и как высокоэффективный и гибкий инструмент в кибершпионаже. Поскольку он может выполнять широкий спектр операций, он становится мощным активом для любой группы продвинутых постоянных угроз (APT). MarsSnake в настоящее время является эксклюзивным для UnsolicitedBooker, что указывает на определенную степень специализации в его разработке и развертывании.

Эта исключительность также поднимает вопросы о стратегических целях его использования. Эксперты по кибербезопасности считают, что MarsSnake — это не инструмент для массовых атак, а инструмент, предназначенный для точного нацеливания с целью проникновения в конкретные, высокоценные учреждения. Повторные атаки на одну организацию в Саудовской Аравии предполагают, что целью является долгосрочный сбор разведданных, а не быстрая финансовая выгода или разрушение.

Связи с другими источниками угроз

Хотя UnsolicitedBooker — относительно новое имя в экосистеме APT, его тактика и набор инструментов напоминают тактику и набор инструментов других групп, связанных с Китаем. Использование знакомых бэкдоров, таких как Chinoxy, DeedRAT , Poison Ivy и BeRAT, соответствует поведению, наблюдаемому в операциях, приписываемых таким кластерам угроз, как Space Pirates и APT15 .

Кроме того, подобные кампании наблюдались со стороны таких групп, как DigitalRecyclers , еще одной организации, действующей под эгидой APT15. DigitalRecyclers нацелилась на европейские правительственные органы, используя собственный набор вредоносных программ, включая бэкдор HydroRShell . Как и MarsSnake, HydroRShell предназначен для удаленного выполнения команд и использует сложные методы для связи со своим сервером управления, включая Protocol Buffers (Protobuf) от Google.

Общая картина: каковы последствия?

Открытие MarsSnake и связанных с ним кампаний подчеркивает развивающуюся среду киберугроз, где бэкдоры становятся все более продвинутыми и адаптированными к своим целям. Для международных организаций, особенно в правительстве, дипломатии или критической инфраструктуре, существование таких инструментов, как MarsSnake, подчеркивает важность надежных методов кибербезопасности.

Эти атаки также отражают более широкую геополитическую напряженность, разыгрывающуюся в цифровой сфере. Поскольку страны конкурируют за стратегические преимущества, кибершпионаж стал излюбленной тактикой. Такие инструменты, как MarsSnake, являются частью более широкой тенденции, когда группы, связанные с государством, проводят длительные операции по наблюдению для сбора конфиденциальной информации.

Двигаясь вперед

Хотя MarsSnake, возможно, и не затрагивает среднестатистического пользователя, его присутствие сигнализирует о растущей потребности в международном сотрудничестве в области кибербезопасности. Организации должны быть бдительны в отношении кампаний целевого фишинга и инвестировать в инструменты обнаружения угроз, способные идентифицировать тонкие, долгосрочные вторжения.

Для исследователей и защитников отслеживание семейств вредоносных программ, таких как MarsSnake, дает ценную информацию о возможностях и намерениях субъектов угроз. Постоянный анализ и обмен данными об угрозах имеют важное значение для опережения этих сложных кампаний.

MarsSnake может быть всего лишь частью большой киберголоволомки, но его появление — наглядное напоминание о том, что битва за цифровое господство продолжается и постоянно развивается.