Źródło: unsplash.com/photos/mT7lXZPjk7U
Microsoft ostrzegł przed aktywną kampanią malware, w której operatorzy tworzą fałszywe strony pobierania oprogramowania i podszywają się pod zaufanych producentów. Złośliwe instalatory są używane do uzyskania trwałego dostępu do urządzeń, osłabienia zabezpieczeń systemu Windows oraz komunikacji z infrastrukturą sterującą. Kampania doprowadziła do kompromitacji organizacji z wielu branż, przede wszystkim chińskojęzycznych użytkowników i oddziałów międzynarodowych firm działających w Chinach.
Witryny wykorzystywane w kampanii wiernie odwzorowywały wygląd legalnych stron dostawców oprogramowania. Zawierały wyraźne przyciski pobierania i chińskojęzyczne treści, które miały skłonić użytkownika do pobrania archiwum ZIP. Po otwarciu archiwum uruchamiał się pośredni instalator, a następnie pierwszy etap złośliwego łańcucha. Microsoft zaobserwował również wariant wykorzystujący zaufany mechanizm Windows Installer. Nazwa pobieranego pliku pozostawała taka sama, ale jego suma kontrolna zmieniała się przy każdym pobraniu, co wskazuje na generowanie ładunku po stronie serwera.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Zestaw serwerów, usług i mechanizmów, za pomocą których operator zdalnie przekazuje polecenia zainfekowanym urządzeniom oraz odbiera od nich informacje.
Technika polegająca na nakłonieniu legalnego programu do załadowania złośliwej biblioteki DLL umieszczonej obok jego pliku.
Po uruchomieniu złośliwe oprogramowanie wykonywało działania mające utrudnić wykrycie i usunięcie infekcji. Tworzyło zadania działające z wysokimi uprawnieniami, dodawało własne lokalizacje do wykluczeń Microsoft Defendera, usuwało kopie woluminów i zmieniało uprawnienia do katalogów z ładunkiem. W praktyce ograniczało to możliwości ochrony systemu oraz utrudniało przywrócenie danych i posprzątanie urządzenia przez standardowego użytkownika.
Kampania ingerowała także w Windows Update. Złośliwy kod zatrzymywał i wyłączał wybrane usługi aktualizacji, zmieniał nazwy powiązanych bibliotek DLL oraz usuwał lokalną pamięć podręczną aktualizacji. Po wykonaniu tych czynności malware nawiązywało komunikację C2 z serwerami kontrolowanymi przez atakujących, korzystając z protokołów aplikacyjnych i niestandardowych kanałów. Microsoft nie określił ostatecznego celu operacji. Firma poinformowała jednak, że Defender wykrył aktywność i uruchomił automatyczne procedury ograniczania ataku.
Opis Microsoftu pojawił się kilka dni po raporcie Kaspersky dotyczącym zmodyfikowanego instalatora chińskiego narzędzia QN Wallpaper. Oryginalna aplikacja jest legalnym adware, które podczas instalacji dostarcza dodatkowe aplikacje partnerskie i wyświetla reklamy. W analizowanym przypadku napastnicy wykorzystali ją do uruchomienia złośliwej biblioteki pod pozorem działania podpisanego procesu. Technika ta, określana jako DLL sideloading lub sideloading DLL, utrudnia wykrycie kodu, ponieważ złośliwe działanie odbywa się w kontekście legalnego programu.
W tym łańcuchu dostarczany był backdoor ValleyRAT. Według Kaspersky może on zbierać informacje o systemie, rejestrować naciśnięcia klawiszy i zawartość schowka, wykonywać zrzuty ekranu, pobierać dodatkowe moduły oraz aktualizować adresy C2. Firma oceniła, że Silver Fox kieruje swoje działania zarówno na potrzeby szpiegostwa cybernetycznego, jak i zysku finansowego. Z kolei Expel przypisał część wykorzystania ValleyRAT podgrupie CuboidalCanine, powiązanej z GoldenEyeDog. Eksperci podkreślają jednak, że sam malware nie przesądza o sprawcy, ponieważ jego kod jest publicznie dostępny.
Dla organizacji najważniejszym sygnałem ostrzegawczym pozostają instalatory pobierane spoza oficjalnych kanałów, nieoczekiwane zadania harmonogramu, zmiany wykluczeń Defendera oraz problemy z aktualizacjami Windows. Weryfikowanie źródła oprogramowania, centralne monitorowanie tych zmian i szybka izolacja podejrzanych urządzeń mogą ograniczyć skutki podobnych kampanii.
Brak komentarzy. Bądź pierwszy!