Як запрошення на неіснуючу криптоконференцію перетворило Google Docs на пастку

Запрошення, яке мало вигляд професійного контакту

Кампанія була розрахована на людей, які нещодавно побували на конференціях Black Hat і DEF CON — відомих подіях для фахівців із кібербезпеки, які часто називають «хакерським літнім табором». Обліковий запис у X під назвою @HartmansDoeke видавав себе за віцепрезидента та керівника маркетингу криптовалютного медіа CoinDesk. 1211

Спочатку зловмисник залишав публічні відповіді користувачам, пов’язаним із цими конференціями, а потім переводив спілкування в приватні повідомлення. Англійською з помилками він запитував, чи планує співрозмовник відвідати наступну подію, після чого пропонував долучитися до нібито конференції, організованої CoinDesk. Насправді такої події не існувало. 4510

Публічні відповіді допомагали знаходити потенційні цілі, а приватні повідомлення створювали відчуття персонального ділового контакту. Саме контекст конференції став для зловмисника зручним скороченим шляхом до довіри.

Справжній Google-документ із небезпечною «начинкою»

Після того як співрозмовник виявляв зацікавленість, йому надсилали Google Doc, стилізований під робочий документ із планування конференції. Сам файл відкривався на справжній інфраструктурі Google, але небезпечною його частиною була не адреса документа, а вбудований інтерфейс на базі Google Apps Script і подальші інструкції. 146

Користувач, який увійшов до свого облікового запису Google, бачив поруч із документом спеціальну бічну панель. Вона створювала враження, що матеріали частково зашифровані, і просила ввести «ключ шифрування» або ключ розшифрування, який зловмисник попередньо надіслав у приватному чаті X. 68

Ключ нібито не спрацьовував. Це мало підштовхнути жертву до наступного кроку — скористатися запропонованими варіантами відновлення. Серед них були інструкції у стилі ClickFix, що спонукають користувача самостійно скопіювати й виконати команду, а також варіант завантаження файлу. Обидва шляхи були розраховані на запуск шкідливого коду. 48

Отже, Google Docs у цій схемі був не просто посиланням на підозрілу сторінку. Справжній сервіс і знайомий інтерфейс використовувалися як психологічний сигнал безпеки.

Справжня адреса google.com підтверджує, де розміщено вміст, але не гарантує безпечності самого документа, скриптів, інструкцій або файлів для завантаження.

Які шкідливі програми намагалися доставити

За даними дослідження, ланцюжок атаки відрізнявся залежно від операційної системи:

• macOS. Ціллю був Atomic macOS Stealer, або AMOS — інфокрадій, призначений для викрадення чутливих даних. У цьому сценарії також фігурували підроблене посилання Dropbox DocSend і фальшивий інсталятор. 2
• Windows. Використовувався NetSupport RAT — легітимний інструмент віддаленої підтримки та доступу, переобладнаний для роботи як троян віддаленого доступу. 2
• Криптовалютні активи. Дослідники також виявили підроблений інсталятор або імплант, що маскувався під гаманець Ledger. Це вказує на можливий інтерес до криптовалютних облікових даних і даних гаманців. 2

Доступні матеріали описують передбачені корисні навантаження та способи їх доставки. Вони не підтверджують, що дослідник Huntress або інші конкретні цілі фактично встановили ці програми чи були успішно скомпрометовані.

Як Huntress розслідувала атаку

Дослідник Huntress одразу розпізнав підхід як підозрілий, але продовжив розмову, удаючи готовність співпрацювати. Це дало змогу отримати документ, простежити поведінку бічної панелі та зафіксувати, як фальшивий ключ мав привести до інструкцій зі встановлення malware. Корисне навантаження дослідник не запускав. 1411

Такий підхід допоміг відновити всю послідовність атаки: від заяви про роботу в CoinDesk і перших відповідей у X до приватного чату, фальшивої конференції, Google-документа, панелі Apps Script, підробленого ключа та окремих сценаріїв для macOS і Windows.

Чому легітимні сервіси виявилися переконливими

Фішингові кампанії часто видають себе підозрілим доменом, дивним дизайном або файлом із невідомого джерела. Тут зловмисник використав інший підхід:

• контакт починався в соціальній мережі, де професійне знайомство не виглядало незвичним;
• приводом була конференція, тобто знайомий для цільової аудиторії робочий контекст;
• документ відкривався через справжній Google Docs;
• бічна панель виглядала як частина інтерфейсу сервісу;
• Google Apps Script — легітимний інструмент, який дає змогу додавати до документів меню, панелі та інші інтерактивні елементи. 46

Саме це поєднання знижувало підозрілість. Однак легітимність платформи не означає легітимності конкретного сценарію, який у ній запущено.

На що варто звернути увагу командам безпеки

Підозрілими сигналами можуть бути:

• несподіване повідомлення від акаунта, який представляється організатором конференції, медіа або спонсором;
• пропозиція перейти з публічної відповіді в приватні повідомлення до незалежної перевірки особи;
• документ, що просить ввести ключ, пароль або крок «розшифрування», наданий в іншому чаті;
• Google Doc із нестандартною бічною панеллю, яка просить завантажити програму, вставити команду або виконати інструкції в терміналі;
• гаманець, інструмент віддаленої підтримки чи «конференційна утиліта», отримані не через незалежно підтверджені канали організації.

Якщо користувач уже виконав такі інструкції, рекомендовано ізолювати потенційно заражену систему, змінити скомпрометовані паролі, відкликати та перевипустити секрети, а також перевірити криптовалютні гаманці й інші чутливі облікові записи. 1819

Що підтверджено, а що залишається невідомим

Наявні матеріали підтверджують основну механіку кампанії: видавання себе за представника CoinDesk у X, пошук цілей через публічні відповіді та приватні повідомлення, вигаданий контекст криптоконференції, Google Doc із панеллю Apps Script, фальшивий ключ розшифрування, інструкції ClickFix і спробу доставити malware для macOS та Windows. 1246811

Водночас у наданих джерелах немає перевіреної заяви від передбачуваного зловмисника або Google. Також недостатньо доказів для конкретного порівняння цієї операції з названими кампаніями, пов’язаними з урядами. На загальному рівні інцидент відповідає знайомій моделі адресної соціальної інженерії проти фахівців із безпеки, але вирізняється використанням справжнього Google-хостингу та інтерфейсу Apps Script як частини ланцюжка доставки шкідливого ПЗ.