МИНИСТЕРСТВО ЦИФРОВОГО РАЗВИТИЯ, СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИ

Ордена Трудового Красного Знамени федеральное государственное бюджетное образовательное учреждение высшего образования

МОСКОВСКИЙ ТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ

СВЯЗИ И ИНФОРМАТИКИ

──────────────────────────────────────

Факультет СИ

Кафедра Интеллектуальные сетевые и облачные технологии

ПРАКТИЧЕСКАЯ РАБОТА

№ 1

по дисциплине «Сетевая безопасность»

Вариант №28

Выполнил: студ. гр.

БСС230У

Хххх Х Х

(Осенний семестр)

Москва 2026

Кампания: Operation Honeybee

Идентификатор MITRE ATT&CK: C0006

Краткое описание атаки

Operation Honeybee (C0006) — кампания кибершпионажа, нацеленная на гуманитарные организации и структуры, занимающиеся межкорейскими отношениями. Кампания была активна с конца 2017 по начало 2018 года. Первоначально атаки были сосредоточены на Южной Корее, но затем география целей расширилась и включила Вьетнам, Сингапур, Японию, Индонезию, Аргентину и Канаду. Исследователи связывают кампанию с группой Honeybee (G0072), действующей, предположительно, в интересах КНДР. Название «Honeybee» было присвоено кампании по имени автора, обнаруженному в метаданных вредоносных документов Microsoft Word.

Кто проводил атаку: группа Honeybee (G0072), предположительно связанная с северокорейскими спецслужбами. Аналитики McAfee отметили, что используемые приманки и метаданные документов указывают на корейскоязычных авторов.

Кто стал целью: гуманитарные организации, а также структуры, вовлечённые в межкорейские дела. Основной удар пришёлся на Южную Корею, но вредоносные документы также были обнаружены в системах организаций во Вьетнаме, Сингапуре, Японии, Индонезии, Аргентине и Канаде.

Основная цель: скрытное проникновение в сети целевых организаций для сбора разведывательной информации. Для этого злоумышленники использовали вредоносные документы Word с внедрёнными макросами, которые устанавливали бэкдор SYSCON для удалённого управления и кражи данных.

Этапы атаки и их сопоставление с mitre att&ck

Кампания Operation Honeybee характеризуется классической для целевого фишинга цепочкой: доставка вредоносного документа, выполнение макроса, установка бэкдора, сбор и эксфильтрация данных.

Этап 1. Подготовка инфраструктуры и средств (Resource Development). Злоумышленники приобрели домены и серверы для размещения командных серверов и хранения похищенных данных. Также был получен украденный цифровой сертификат Adobe Systems для подписи вредоносного исполняемого файла (дроппера MaoCheng), что повышало доверие к нему со стороны средств защиты.

Этап 2. Первоначальный доступ (Initial Access) через документы-приманки. Основным вектором атаки стало распространение вредоносных документов Microsoft Word. Документы маскировались под актуальные темы, связанные с межкорейскими отношениями и гуманитарной помощью. Например, один из документов имел название «International Federation of Red Cross and Red Crescent Societies – DPRK Country Office». Злоумышленники также использовали сообщения о несовместимости формата Word, чтобы побудить пользователя включить макросы. Для доставки вложений, вероятно, использовалась электронная почта. Дополнительно использовался дроппер MaoCheng, замаскированный под документ Word (иконка документа).

Этап 3. Выполнение (Execution) и закрепление (Persistence). После открытия документа и включения макросов срабатывал Visual Basic скрипт, который декодировал и запускал полезную нагрузку — бэкдор SYSCON (или его обновлённую версию). Для закрепления в системе использовались службы Windows (Windows Service) и модификация реестра.

Этап 4. Сбор данных и эксфильтрация (Collection / Exfiltration). Бэкдор SYSCON обеспечивал выполнение команд, сбор системной информации, обнаружение файлов и каталогов, а также кражу данных с локальной системы. Для передачи данных на серверы злоумышленников использовался протокол FTP и другие методы эксфильтрации через C2-канал. Также применялось удаление следов для сокрытия присутствия.

Повторяемость этапов. В отличие от каскадных атак на цепочки поставок, Operation Honeybee представляла собой серию однотипных атак, направленных на разные организации в разных странах. Этапы первоначального доступа (фишинг с вредоносным документом), выполнения (запуск макроса) и закрепления (установка бэкдора) повторялись для каждой новой жертвы с использованием схожих тактик и инструментов, что указывает на отработанный и автоматизированный процесс.

Схема последовательности атаки:

Сбор информации о целях → создание фишингового документа → доставка документа → включение макроса → запуск дроппера/макроса → установка бэкдора SYSCON → сбор и кража данных

Таблица 1 — Сопоставление этапов атаки с MITRE ATT&CK

№	Что произошло	Тактика MITRE ATT&CK	Техника или подтехника	Как обнаружить	Как предотвратить или уменьшить последствия
1	Приобретение доменов и серверов для C2	Resource Development	T1583.001 — Domains; T1583.004 — Server	Мониторинг регистраций подозрительных доменов; выявление сетевых соединений с новыми или низкорепутационными IP-адресами и доменами	Блокировка на уровне прокси и DNS известных вредоносных доменов; использование threat intelligence для обновления списков блокировки
2	Кража цифрового сертификата Adobe для подписи дроппера	Resource Development	T1588.004 — Digital Certificates; T1553.002 — Code Signing	Проверка целостности цепочек подписи; выявление файлов с действительной подписью, но подозрительным поведением или метаданными	Мониторинг отзыва сертификатов; использование EDR с поведенческим анализом, а не только проверкой подписи
3	Доставка фишингового документа Word	Initial Access	T1566 — Phishing; T1036.005 — Match Legitimate Resource Name or Location	Почтовые шлюзы (анализ вложений и ссылок); EDR-алерты при открытии документов с макросами из недоверенных источников; сигнатуры YARA на известные образцы	Фильтрация почты и блокировка макросов из интернета (через групповые политики); обучение пользователей распознаванию фишинга; использование Protected View
4	Включение макроса и запуск Visual Basic скрипта	Execution	T1059.005 — Visual Basic; T1204.002 — Malicious File	Мониторинг запуска winword.exe с дочерними процессами (например, cmd.exe, powershell.exe); журналы Sysmon (событие 1 — создание процесса)	Отключение макросов по умолчанию; использование Application Guard для Office; ограничение прав пользователей
5	Установка бэкдора SYSCON и закрепление через службы/реестр	Persistence / Privilege Escalation	T1543.003 — Windows Service; T1112 — Modify Registry; T1548.002 — Bypass UAC	Мониторинг создания новых служб (событие 7045 в журнале System); отслеживание изменений в ключах автозагрузки реестра; EDR-детекты на аномальные модификации реестра	Ограничение прав на создание служб; контроль целостности реестра; использование AppLocker или WDAC для блокировки нежелательных исполняемых файлов
6	Сбор данных и эксфильтрация через FTP/C2	Collection / Exfiltration	T1005 — Data from Local System; T1071.002 — File Transfer Protocols; T1041 — Exfiltration Over C2 Channel	Мониторинг необычных FTP-соединений и передач данных; анализ сетевого трафика (IDS/IPS) на предмет аномалий; журналы прокси-сервера	Сегментация сети и ограничение исходящего трафика; блокировка неавторизованных FTP-серверов; DLP-системы для предотвращения утечек

Ответ на основной вопрос варианта

Как документы-приманки использовались для первоначального доступа?

Документы-приманки были ключевым элементом Honeybee. Злоумышленники создавали документы Word, которые выглядели как легитимные файлы, связанные с гуманитарной деятельностью или межкорейскими отношениями. Например, использовалось название «International Federation of Red Cross and Red Crescent Societies – DPRK Country Office». Внутри документа содержался вредоносный макрос Visual Basic. Чтобы заставить пользователя его запустить, применялись различные уловки: сообщения о «несовместимости» формата или просьбы «включить содержимое» для корректного отображения. После включения макроса выполнялся скрипт, который декодировал и устанавливал бэкдор SYSCON, предоставляя злоумышленникам удалённый доступ к системе жертвы. Таким образом, документы-приманки сочетали социальную инженерию (использование актуальных тем) с технической эксплуатацией (макросы) для обхода периметра и получения первоначального доступа.