Hotele i organizacje z branży hotelarskiej są celem kampanii phishingowych, w których wykorzystywane są złośliwe pliki ZIP podszywające się pod załączniki ze zdjęciami gości.
Badacze z Microsoft i Trend Micro zaobserwowali podobną aktywność wymierzoną w pracowników branży hotelarskiej, w tym zespoły recepcji, działy rezerwacji i dostawców zakwaterowania. Atakujący podszywają się pod gości zgłaszających skargi, prośby o recenzję, problemy z rezerwacją lub pilne pytania do obsługi, a następnie nakłaniają pracowników do pobrania archiwów ZIP zawierających fałszywe pliki graficzne.
Za tymi „zdjęciami” kryją się złośliwe skróty systemu Windows, zaprojektowane tak, aby uruchamiać złośliwe oprogramowanie i zapewniać długotrwały dostęp do systemów hotelu.
Dlaczego celem jest branża hotelarska
Branża hotelarska jest naturalnym celem tego rodzaju socjotechniki.
Pracownicy hoteli regularnie otrzymują wiadomości od gości, platform rezerwacyjnych i partnerów turystycznych. Oczekuje się od nich, że będą otwierać załączniki, przeglądać zdjęcia, szybko odpowiadać i rozwiązywać skargi.
Atakujący nadużywają właśnie tego sposobu pracy.
Zamiast wysyłać oczywiste złośliwe oprogramowanie, przesyłają wiadomości, które wyglądają jak zwykła codzienność hotelu:
- skargi gości
- zgłoszenia o pluskwach
- rzekome kontrole sanitarne
- problemy z rezerwacją
- prośby o recenzję pobytu
- zapytania do obsługi klienta
To sprawia, że e-maile phishingowe są bardziej wiarygodne, a prawdopodobieństwo otwarcia załącznika przez pracowników rośnie.
Fałszywe zdjęcia, pliki ZIP i złośliwe skróty
Zarówno Microsoft, jak i Trend Micro opisały ataki oparte na archiwach ZIP zawierających skróty systemu Windows.
Skróty są zamaskowane jako obrazy, przez co wyglądają jak zdjęcia gości.
Po otwarciu plik nie wyświetla zwykłego obrazu. Zamiast tego uruchamia łańcuch infekcji, który może wykonywać skrypty i pobierać kolejne złośliwe oprogramowanie.
Ta technika stała się powszechniejsza, odkąd atakujący odchodzą od tradycyjnego dostarczania złośliwego oprogramowania za pomocą makr. Skoro Microsoft utrudnia nadużywanie makr, operatorzy phishingu coraz częściej sięgają po pliki archiwów, skróty, łańcuchy skryptów i zaufane usługi, aby omijać zabezpieczenia.
Microsoft: implant w Node.js służący do utrzymywania dostępu
Microsoft zaobserwował ataki na hotele i organizacje z branży hotelarskiej w Europie i Azji, a aktywność rozpoczęła się co najmniej w kwietniu.
E-maile phishingowe nadużywały legalnych usług, takich jak powiadomienia Calendly i przekierowania adresów URL Google. Microsoft nazwał to „praniem uwierzytelniania” (authentication laundering), w ramach którego atakujący kierują złośliwe wiadomości przez zaufane usługi, by wyglądały na bardziej wiarygodne dla systemów zabezpieczających pocztę.
Po otwarciu przez ofiarę fałszywego skrótu ze zdjęciem łańcuch infekcji wykorzystywał zaciemnione polecenia PowerShell i ostatecznie instalował trwały implant oparty na Node.js.
Implant ten zapewniał trwałość w rejestrze i nawiązywał szyfrowaną komunikację z infrastrukturą kontrolowaną przez atakujących.
Celem nie było natychmiastowe wdrożenie ransomware. Atakujący wydawali się raczej skupieni na utrzymaniu niezawodnego dostępu na potrzeby przyszłych działań.
Trend Micro: partnerzy Booking.com na celowniku w Japonii
Trend Micro zaobserwował podobną kampanię pod koniec maja, wymierzoną w japońskich dostawców zakwaterowania współpracujących z Booking.com.
E-maile phishingowe podszywały się pod prośby gości o recenzję i skargi klientów. Podobnie jak w aktywności zaobserwowanej przez Microsoft, atak opierał się na archiwach ZIP zawierających złośliwe pliki LNK podszywające się pod fotografie.
Ostateczny ładunek był jednak inny.
Trend Micro poinformował, że kampania dostarczała TONResolver, trojana zdalnego dostępu (RAT) napisanego w JavaScripcie. Node.js posłużył do zaciemnienia kodu, ale RAT dawał atakującemu możliwość odbierania i wykonywania kolejnych poleceń.
Badacze zaobserwowali również oznaki dalszej aktywności, w tym kradzież poświadczeń i dodatkowe naruszenia po początkowej infekcji.
Infrastruktura C2 oparta na blockchainie utrudnia likwidację
Jednym z bardziej godnych uwagi elementów kampanii opisanej przez Trend Micro jest sposób działania infrastruktury dowodzenia i kontroli (C2) TONResolvera.
Malware pobiera aktualny adres serwera C2 z inteligentnego kontraktu w sieci The Open Network, znanej jako TON. W takim układzie blockchain pełni rolę resolvera typu dead drop.
Oznacza to, że malware nie musi polegać na jednym zaszytym na stałe serwerze dowodzenia.
Jeśli serwer C2 atakującego zostanie wyłączony, operator może zaktualizować adres docelowy w inteligentnym kontrakcie. Zainfekowane systemy mogą wówczas automatycznie połączyć się z nową infrastrukturą.
Utrudnia to tradycyjne metody likwidacji, ponieważ może nie istnieć jedna domena, którą dałoby się przejąć lub skierować do sinkhole.
Prawdziwym celem jest długotrwały dostęp
Kluczowa kwestia w obu raportach jest taka, że atakującym nie zależy wyłącznie na szybkim zysku.
Zamiast natychmiast wdrażać ransomware lub przeprowadzać oczywiste oszustwa, kampanie mają na celu uzyskanie przyczółka w sieci.
Taki długotrwały dostęp można później wykorzystać do:
- kradzieży poświadczeń
- ruchu bocznego
- wdrażania dodatkowego złośliwego oprogramowania
- kradzieży danych gości
- nadużywania platform rezerwacyjnych
- oszustw finansowych
- przygotowania ataku ransomware
W przypadku hoteli jest to szczególnie poważne, ponieważ przejęte systemy rezerwacji mogą zawierać dane gości, dane związane z płatnościami, dostęp do portali partnerskich oraz informacje operacyjne.
Na co powinni zwracać uwagę obrońcy
Organizacje z branży hotelarskiej powinny traktować archiwa ZIP ze zdjęciami jako wysokiego ryzyka, zwłaszcza gdy przychodzą wraz z pilnymi skargami gości lub wiadomościami dotyczącymi rezerwacji.
Zespoły bezpieczeństwa powinny zwracać uwagę na:
- archiwa ZIP rzekomo zawierające zdjęcia gości
- pliki LNK podszywające się pod obrazy
- PowerShell uruchamiany w wyniku aktywności użytkownika
- nieoczekiwane uruchamianie Node.js na systemach w recepcji
- Node.js uruchamiany ze ścieżek w przestrzeni użytkownika
- podejrzane mechanizmy trwałości w rejestrze
- nietypowe wychodzące połączenia szyfrowane
- nieoczekiwany dostęp do usług związanych z blockchainem
- nietypową aktywność logowania po e-mailach phishingowych
Stanowisko w recepcji lub dziale rezerwacji zwykle nie ma żadnego uzasadnionego powodu, by uruchamiać Node.js lub złożone skrypty PowerShell. Takie zachowanie powinno skutkować wszczęciem dochodzenia.
Zalecane działania obronne
Hotele i dostawcy usług hotelarskich powinni wzmocnić kontrole wokół systemów recepcji i rezerwacji.
Do ważnych kroków należą:
- blokowanie lub szczegółowa inspekcja załączników ZIP
- ograniczenie uruchamiania skrótów systemu Windows z archiwów
- utwardzenie konfiguracji PowerShell
- monitorowanie nieoczekiwanego uruchamiania Node.js
- ograniczenie uruchamiania oprogramowania na systemach w recepcji
- stosowanie kontroli aplikacji tam, gdzie to możliwe
- szkolenie pracowników w zakresie weryfikacji załączników ze zdjęciami gości
- monitorowanie kont na platformach rezerwacyjnych pod kątem podejrzanej aktywności
- wymuszanie silnego uwierzytelniania wieloskładnikowego
- ograniczenie zbędnego dostępu do platform blockchain
- badanie nietypowego ruchu wychodzącego z terminali rezerwacyjnych
W wielu środowiskach hotelarskich najbardziej praktyczna zasada jest prosta: systemy w recepcji powinny uruchamiać wyłącznie narzędzia potrzebne do obsługi hotelu.
Wszystko, co wykracza poza ten punkt odniesienia, należy traktować jako podejrzane.
Podsumowanie
Te kampanie pokazują, jak atakujący dostosowują taktyki phishingu do rzeczywistych procesów biznesowych.
W branży hotelarskiej komunikacja z gośćmi jest nieustanna. To daje atakującym okazję, by ukryć malware pod postacią skarg, problemów z rezerwacją, próśb o recenzję lub zdjęć gości.
Ewoluuje również sam łańcuch techniczny. Złośliwe skróty, PowerShell, implanty w Node.js, RAT-y w JavaScripcie, nadużywanie zaufanych usług i infrastruktura C2 oparta na blockchainie sprawiają, że te kampanie są trudniejsze do wykrycia i zatrzymania.
Wniosek jest jasny: organizacje z branży hotelarskiej powinny traktować nieoczekiwane archiwa ze zdjęciami gości jako poważne zagrożenie dla bezpieczeństwa.
Jeden fałszywy obraz może stać się długotrwałym dostępem do firmy.
