Valekonferenssi teki Google-dokumentista haittaohjelman jakelukanavan

X:ssä toiminut tili @HartmansDoeke väitti edustavansa CoinDeskiä ja lähestyi Black Hatiin ja DEF CONiin liittyneitä ihmisiä. Ensin yhteydenottoja tehtiin julkisissa vastauksissa, minkä jälkeen keskusteluja siirrettiin yksityisviesteihin. Kohteille esiteltiin väitetysti CoinDeskin järjestämää kryptovaluutta-aiheista konferenssia, jota ei todellisuudessa ollut olemassa. Seuraavaksi hyökkääjä jakoi Google-dokumentin, jonka väitettiin sisältävän tapahtuman suunnittelumateriaalia. 1411

Dokumentti itsessään saattoi näyttää täysin tavanomaiselta. Sen vaarallisuus ei perustunut siihen, että Google-dokumentti olisi ollut epäaito, vaan siihen upotettuun Google Apps Script -käyttöliittymään ja sen antamiin ohjeisiin. Saatavilla olevat tiedot kuvaavat haittaohjelman toimitusyritystä, mutta eivät vahvista, että Huntressin tutkija tai muut kohteet olisivat asentaneet hyötykuorman. 468

Näin sosiaalinen manipulointi eteni

Ensimmäiset viestit hyödynsivät konferenssikontekstia uskottavuuden pikakaistana. Esiintyjä kysyi rikkinäisellä englannilla, oliko tutkija osallistumassa seuraavaan tapahtumaan, ja nosti sitten esiin tunnettuun kryptouutismediaan yhdistetyn, tekaistun konferenssin. Julkisten vastausten avulla hyökkääjä saattoi tunnistaa kiinnostavia kohteita tai ottaa heihin yhteyttä. Yksityisviestit puolestaan tarjosivat rauhallisemman kanavan huijauksen seuraaville vaiheille. 4510

Kun kohde osoitti kiinnostusta, hän sai konferenssin suunnitteludokumentiksi naamioidun tiedoston. X-keskustelussa toimitettiin erillinen salaus- tai purkuavain. Tämä sai tilanteen vaikuttamaan tavalliselta tapahtumajärjestelyltä eikä perinteiseltä tietojenkalastelulta. 68

Google Docs - ja Apps Script -ansa

Google-tililleen kirjautunut käyttäjä näki dokumentin yhteydessä mukautetun sivupalkin. Huntressin kuvauksen mukaan sivupalkki loi vaikutelman osittain salatusta sisällöstä ja pyysi käyttäjää syöttämään yksityisviestillä saadun avaimen. Avain näytti epäonnistuvan, mikä loi tekosyyn seurata sivupalkin tarjoamia palautus- tai korjausohjeita. 68

Seuraaviin vaiheisiin kuului ClickFix-tyyppisiä ohjeita ja latausvaihtoehto. Niiden tarkoitus oli saada vastaanottaja lataamaan ja suorittamaan haitallista koodia. Dokumentti ei siis ollut vain linkki epäilyttävälle ulkopuoliselle sivulle: aito Google-hostaus ja Docs-palvelun omaa käyttöliittymää muistuttava sivupalkki tekivät työnkulusta tutun oloisen. 48

Tässä piilee kampanjan tärkein opetus. Osoite, joka todella kuuluu google.com-verkkotunnukseen, kertoo missä sisältöä isännöidään – ei sitä, ovatko dokumentti, skripti, ohjeet tai lataukset turvallisia.

Millaisia haittaohjelmia kampanjaan yhdistettiin?

Raportoidut toimitusreitit vaihtelivat käyttöjärjestelmän mukaan:

• macOS: Tavoitteena oli Atomic macOS Stealer eli AMOS, tietoja varastava haittaohjelma. macOS-reittiin yhdistettiin myös väärennetty Dropbox DocSend -jako ja huijausasennusohjelma. 2
• Windows: Kampanjassa käytettiin NetSupport RATia. NetSupport on oikea etätuki- ja etätyöpöytätuote, mutta tässä yhteydessä sitä hyödynnettiin etäkäyttötroijalaisena.
• Kryptovaluuttoihin liittyvät kohteet: Tutkijat löysivät lisäksi väärennetyn Ledger-lompakon asennusohjelman tai implantin, mikä viittaa kryptovaluuttatietojen ja lompakoiden olleen ainakin yksi kampanjan ilmeisistä tavoitteista. 2

Saatavilla oleva näyttö koskee suunniteltuja hyötykuormia ja niiden toimitustapoja. Se ei vahvista tutkijan joutuneen onnistuneen murtautumisen kohteeksi.

Huntress jatkoi keskustelua tarkoituksella

Kohteeksi joutunut Huntressin tutkija tunnisti lähestymisen epäilyttäväksi, mutta jatkoi keskustelua esiintyen yhteistyöhaluisena. Näin Huntress pystyi seuraamaan viestejä, vastaanottamaan dokumentin ja selvittämään, kuinka valesalausruutu johdatti kohti haittaohjelman suorittamista. Tutkija ei asentanut hyötykuormaa. 1411

Menettely tarjosi tavallista paremman näkymän hyökkäysketjuun. Tutkinta ei pysähtynyt ensimmäiseen epäilyttävään viestiin, vaan yhdisti X-tilin väitetyn henkilöllisyyden, konferenssitarinan, Google-dokumentin, Apps Script -sivupalkin, tekaistun avainpyynnön ja käyttöjärjestelmäkohtaiset haittaohjelmareitit.

Mitä organisaatioiden kannattaa oppia?

Tapaus osoittaa, että konferensseihin liittyviä yhteydenottoja on syytä arvioida yhtä kriittisesti kuin sähköpostihuijauksia – vaikka viesti saapuisi julkisesta sosiaalisen median palvelusta ja siinä käytettäisiin tunnettua pilvipalvelua.

Varoitusmerkkejä ovat esimerkiksi:

• ei-toivottu yhteydenotto tililtä, joka väittää edustavansa konferenssin järjestäjää, mediayhtiötä tai sponsoria;
• pyyntö siirtyä julkisesta keskustelusta yksityisviesteihin ennen henkilöllisyyden riippumatonta varmistamista;
• dokumentti, joka pyytää erillisessä keskustelussa toimitettua avainta, salasanaa tai ”purkuvaihetta”;
• Google-dokumentti, jonka mukautettu sivupalkki tai poikkeava toiminto ohjaa lataamaan ohjelmiston tai liittämään komentoja; sekä
• kryptolompakko, etätukiohjelma tai konferenssityökalu, jota tarjotaan organisaation itsenäisesti varmistettujen kanavien ulkopuolelta.

Jos ohjeita on jo seurattu, turvallisin toimintatapa on eristää mahdollisesti vaarantunut laite, vaihtaa mahdollisesti paljastuneet tunnukset, kierrättää salaisuudet ja tarkistaa kryptolompakot sekä muut arkaluontoiset tilit. 1819

Mitä lähteet vahvistavat – ja mitä eivät?

Lähteet tukevat kampanjan keskeistä kuvausta: X:ssä tapahtunut toisena henkilönä esiintyminen, julkiset vastaukset ja yksityisviestit, tekaistu kryptokonferenssi, Google Apps Scriptillä muokattu Google-dokumentti, erikseen toimitettu valepurkuavain, ClickFix-tyyppiset jatko-ohjeet sekä macOS- ja Windows-haittaohjelmien levitysyritys. 1246811

Toimitettu aineisto ei sisällä vahvistettua lausuntoa epäillyltä hyökkääjältä tai Googlelta. Se ei myöskään anna riittävää näyttöä yksityiskohtaiseen vertailuun nimettyihin valtiollisiin tai valtioihin kytkeytyviin kampanjoihin. Yleisellä tasolla tapaus edustaa tuttua, turvallisuusalan ammattilaisiin kohdistuvaa räätälöityä sosiaalista manipulointia. Sen poikkeava piirre oli aidosti isännöidyn Google-sisällön ja Apps Script -käyttöliittymän käyttäminen osana haittaohjelman toimitusketjua.