Badacze cyberbezpieczeństwa opisali wcześniej nieudokumentowany framework loadera HollowFrame oraz rodzinę złośliwego oprogramowania Matryoshka. Według firmy Blackpoint Cyber oba narzędzia zostały wykorzystane w wieloetapowym ataku spear phishingowym na dwa urządzenia należące do nieokreślonej kancelarii prawnej. Nie ustalono, kto stoi za operacją.
Wieloetapowy łańcuch infekcji
Atak rozpoczynał się od wiadomości zawierającej odnośnik do zaszyfrowanego archiwum. W środku znajdował się plik skrótu Windows, czyli LNK, przedstawiany jako „Case Documents”. Jego uruchomienie rozpoczynało sekwencję działań obejmującą eskalację uprawnień, osłabienie części zabezpieczeń Microsoft Defender oraz pobieranie kolejnych komponentów z serwera zdalnego. Takie rozdzielenie funkcji na wiele etapów utrudniało wykrycie pełnego łańcucha, ponieważ pojedynczy element nie zawierał całej logiki infekcji ani kompletnego obrazu komunikacji z operatorem.
HollowFrame i dwa warianty Matryoshki
HollowFrame został napisany w języku Go i działał jako modularny loader oraz mechanizm utrzymania dostępu. Do uruchamiania dodatkowych komponentów wykorzystywał technikę DLL side-loading, w której legalny plik binarny Pythona był zestawiany ze złośliwą biblioteką DLL. Loader przeprowadzał także kontrole antyanalityczne. Sprawdzał między innymi czas działania systemu, ilość zainstalowanej pamięci, liczbę plików w profilu użytkownika oraz ruch kursora, aby ograniczyć działanie w środowiskach testowych i piaskownicach. Utrzymanie dostępu zapewniało zadanie zaplanowane w systemie. W jednym z etapów HollowFrame rozpakowywał zaszyfrowany kontener i uruchamiał kolejną sekwencję DLL, która wdrażała Matryoshkę, backdoora
Badacze zidentyfikowali dwa warianty Matryoshki. Pierwszy komunikował się z serwerem sterującym przez HTTP i pozwalał na uruchamianie powłoki oraz dostarczanie dalszych narzędzi. Drugi wykorzystywał prywatne repozytorium GitHub jako kanał komunikacji. Repozytorium zawierało oddzielne katalogi przypisane poszczególnym urządzeniom, a w nich dane sygnalizujące obecność ofiary, polecenia, wyniki ich wykonania oraz, w niektórych przypadkach, pliki przeznaczone do transferu. Taki model pozwalał operatorowi zarządzać zadaniami bez utrzymywania własnego serwera sterującego. Zestaw funkcji HollowFrame i Matryoshki zapewniał zdalne wykonywanie poleceń, rozpoznanie Active Directory, transfer plików oraz dostarczanie kolejnych narzędzi. Zdaniem badaczy mogło to ułatwić kradzież danych uwierzytelniających, przemieszczanie się w sieci i dalsze przejęcie domeny.
