Представьте себе – приехали вы в командировку, заселились в прекрасный дорогой пятизвездочный отель, продуктивно поработали и вечером вернулись в свой номер. Что, казалось бы, может вам угрожать? Вы же приличный человек, клофелинщиц к себе не водите, стулья из окон в пьяном дебоше не выкидываете. Подключились к Интернету, позвонили по Скайпу второй половине, посмотрели сериал и на бочок. Стоп, вы уже под внимательным присмотром хитрых ребят из DarkHotel, фанатеющих от K-Pop.

APT DarkHotel aka APT-C-06, Fallout Team, Shadow Crane и др. – это весьма скиллованная хакерская группа, активная с 2007 года (хотя некоторые исследователи склоняются к 2004). Впервые была упомянута Лабораторией Касперского в 2014 году. Считается, что группа работает на спецслужбы Южной Кореи. Несмотря на высокую квалификацию DarkHotel, данных по ее активности намного меньше, чем, например, соседей из северокорейской Lazarus. Возможно, по причине соблюдения серьезной конспирации при проведении своих киберкампаний.

Кстати говоря, нет ничего удивительного, что именно Касперские зачастую первыми выявляют и описывают APT, которые работают на спецслужбы США и их союзников. И дело даже не в том, что западные инфосек компании обязаны принимать определенные правила игры, навязываемые со стороны государственных органов (хотя доля этого, безусловно, присутствует). Причина проста – эти инфосек вендоры, как правило, не защищают объекты, на которые нападают такие хакерские группы, а следовательно им неоткуда взять первичку для дальнейшего расследования. Поэтому первыми "условно западные" APT, как правило, открывают либо российские, либо китайские исследователи (хотя DarkHotel скорее должны были зацепить ресерчеры из TrendMicro, поскольку Япония представляет для хакеров особый интерес, но не срослось).

В период с 2007 DarkHotel проводила несколько масштабных киберкампаний. В их число входили и целевой фишинг, и массовое распространение malware через торренты. Само собой, хакеры применяли ряд 0-day уязвимостей, например, в Adobe Flash. Использовались многочисленные вредоносные инструменты (в частности, продвинутый кейлогер, функционирующий на уровне ядра операционной системы). Присутствовали среди них и предназначенные для разведки физически изолированных сетей, что является признаком работы спецслужб.

Но мы рассмотрим кибероперацию, которая, собственно, и дала группе название DarkHotel. И это очень красивая операция, которая являла собой фактически атаку на водопой, только в масштабе Эйфелевой башни (если обычные атаки на водопой сравнивать с собачей будкой).

На первом этапе DarkHotel компрометировали внутренние сети наиболее дорогих гостиниц в различных странах. Таким образом они, во-первых, получали данные о постояльцах, периоде их пребывания и номерах заселения. А во-вторых, оставляли в сети гостиницы бэкдоры и вредоносы – к примеру, ломали гостиничные web-браузеры и порталы регистрации.

На этой стадии, после получения сведений о въезжающих гостях, DarkHotel, видимо, определяли представляет ли интерес тот или иной постоялец. Потому что дальнейшая их работа была весьма избирательной.

При подключении к Wi-Fi отеля новый интересный постоялец получал уведомление о необходимости сделать апдейт какого-либо ПО, например, Adobe Flash. И этот ход очень правильно рассчитан с точки зрения психологии въезжающего в отель человека, который не знает точно как функционирует портал регистрации пользователя в сети гостиницы и допускает, что ему не хватает какого либо обновления для корректной работы. А вместе с инсталлятором легальных программ объекты разведки получали бэкдор от DarkHotel.

В дальнейшем хакеры осуществляли полный сбор информации о скомпрометированной системе, устанавливали кейлогер, проводили разведку имеющихся конфиденциальных документов. Среди других компонентов присутствовал и модуль, обеспечивающий самоуничтожение и зачистку всех данных о присутствии DarkHotel на зараженном устройстве.