Výskumníci nájdu 3 Nové kmene malvéru používané hackermi SolarWinds

FireEye a Microsoft vo štvrtok uviedli, že v súvislosti s útokom na dodávateľský reťazec SolarWinds objavili tri ďalšie kmene malvéru, vrátane „sofistikovaného zadného vrátka druhej fázy“, keďže vyšetrovanie rozľahlej špionážnej kampane naďalej prináša nové stopy o taktike aktéra hrozby. a techniky.

Nová sada malvéru s názvom GoldMax (aka SUNSHUTTLE), GoldFinder a Sibot sa pridáva k rastúcemu zoznamu škodlivých nástrojov, ako sú Sunspot, Sunburst (alebo Solorigate), Teardrop a Raindrop, ktoré boli tajne doručené do podnikových sietí údajnými ruskými agentmi. .

“Tieto nástroje sú nové časti malvéru, ktoré sú jedinečné pre tohto aktéra,” uviedol Microsoft. “Sú šité na mieru pre konkrétne siete a posúdi sa, že budú zavedené po tom, čo aktér získa prístup prostredníctvom kompromitovaných poverení alebo binárneho systému SolarWinds a po bočnom pohybe pomocou Teardrop a iných praktických akcií na klávesnici.”

Microsoft tiež využil príležitosť a pomenoval aktéra za útokmi proti SolarWinds as NOBELIUM, ktorý je tiež sledovaný pod rôznymi menami komunitou kybernetickej bezpečnosti, vrátane UNC2452 (FireEye), SolarStorm (Palo Alto Unit 42), StellarParticle (CrowdStrike) a Dark Halo (Volexity).

Zatiaľ čo Sunspot bol nasadený do prostredia zostavy, aby vložil zadné vrátka Sunburst do platformy na monitorovanie siete Orion spoločnosti SolarWinds, Teardrop a Raindrop sa primárne používali ako nástroje po exploatácii na bočný pohyb v sieti a doručovanie Cobalt Strike Beacon.

Objavené od augusta do septembra 2020, SUNSHUTTLE je malvér založený na Golangu, ktorý funguje ako zadné vrátka na príkazy a ovládanie, ktoré vytvárajú zabezpečené spojenie so serverom ovládaným útočníkom na prijímanie príkazov na sťahovanie a spúšťanie súborov, nahrávanie súborov zo systému na server a spúšťanie príkazov operačného systému na napadnutom stroji.

FireEye uviedol, že malvér spozoroval u obete kompromitovanej UNC2452, ale dodal, že nedokázal úplne overiť spojenie zadného vrátka s aktérom hrozby. Spoločnosť tiež uviedla, že objavila SUNSHUTTLE v auguste 2020 po tom, čo ho nemenovaný subjekt so sídlom v USA nahral do verejného úložiska škodlivého softvéru.

Jednou z najpozoruhodnejších funkcií GoldMax je schopnosť maskovať svoju škodlivú sieťovú prevádzku zdanlivo neškodnou návštevnosťou pseudonáhodným výberom odkazujúcich zdrojov zo zoznamu obľúbených adries URL webových stránok (napríklad www.bing.com, www.yahoo.com, www .facebook.com, www.twitter.com a www.google.com) pre navádzacie požiadavky HTTP GET smerujúce na domény C2.

„Nové zadné dvierka SUNSHUTTLE sú sofistikované zadné vrátka druhej fázy, ktoré demonštrujú priame, ale elegantné techniky vyhýbania sa detekcii prostredníctvom svojich „zlúčených“ dopravných schopností pre komunikáciu C2,“ uviedol FireEye. “SUNSHUTTLE by fungoval ako zadné vrátka druhej fázy v takomto kompromise na vykonávanie prieskumu siete popri iných nástrojoch súvisiacich so Sunburst.”

GoldFinder, tiež napísaný v Go, je nástroj na sledovanie HTTP na zaznamenávanie trasy, ktorou sa paket dostane na server C2. naproti tomu Sibot je dvojúčelový malvér implementovaný vo VBScripte, ktorý je navrhnutý tak, aby dosiahol perzistenciu na infikovaných počítačoch pred stiahnutím a spustením užitočného zaťaženia zo servera C2. Microsoft uviedol, že pozoroval tri zahmlené varianty Sibota.

Aj keď rôzne kúsky puzzle útoku SolarWinds zapadajú do seba, vývoj opäť podčiarkuje rozsah a sofistikovanosť v rozsahu metód používaných na prenikanie, šírenie a zotrvanie v prostrediach obetí.

„Tieto schopnosti sa líšia od predtým známych nástrojov a vzorov útokov NOBELIUM a potvrdzujú sofistikovanosť herca,“ povedal Microsoft. “Vo všetkých fázach útoku herec preukázal hlboké znalosti softvérových nástrojov, nasadení, bezpečnostného softvéru a systémov bežných v sieťach a techník, ktoré často používajú tímy reakcie na incidenty.”