Ques/Help/Req Модульный вредонос Deadglyph атакует госорганы на Ближнем Востоке

[XakeR]

Исследователи из компании ESET обнаружили ранее неизвестный бэкдор Deadglyph, используемый хак-группой Stealth Falcon (она же Project Raven или FruityArmor) для кибершпионских атак.

Эксперты рассказывают, что им неизвестны способы распространения Deadglyph, но предполагается, что для этого используются вредоносные исполняемые файлы или файлы установщиков. Отмечается, что эта малварь связана со шпионской атакой на неназванное правительственное учреждение в одной из стран Ближнего Востока.

Цепочка загрузки Deadglyph начинается с загрузчика шелл-кода (DLL), который извлекает код из реестра Windows для загрузки компонента Executor (x64), который, в свою очередь, загружает компонент Orchestrator (.NET). При этом на диске скомпрометированной системы существует только начальный компонент (в виде DLL-файла), что снижает вероятность обнаружения.

«Архитектура Deadglyph необычна тем, что состоит из взаимодействующих компонентов: один — нативный бинарник x64, другой — сборка .NET. Эта комбинация необычна, поскольку обычно вредоносное ПО использует только один язык программирования для своих компонентов. Это несоответствие может указывать на раздельную разработку двух этих компонентов, а также на то, что злоумышленники стремятся использовать уникальные особенности различных языков программирования», — гласит отчет экспертов.

Поскольку DLL-компонент хранится в файловой системе, вероятность его обнаружения выше. В связи с этим хакеры используют омоглифы для атаки на ресурс VERSIONINFO и задействуют греческие и кириллические Unicode-символы, чтобы заставить файл выглядеть как обычный файл Windows.

«Этот способ задействует отдельные символы Unicode, визуально похожие на оригинальные, но в данном случае не идентичные. А именно: греческую заглавную буква Сигма (U+03FA, Ϻ) и кириллическую строчную букву «О» (U+043E, о) в словах Ϻicrоsоft Corpоratiоn», — пишут исследователи.

В свою очередь, компонент Executor загружает зашифрованные с помощью AES настройки для бэкдора, запускает среду исполнения .NET в системе, загружает .NET-часть бэкдора и выполняет для него роль библиотеки.

Наконец, компонент Orchestrator отвечает за связь с управляющим сервером, используя для этого два модуля — Timer и Network. Так, если по истечении определенного времени бэкдору не удается установить связь с сервером, он запускает механизм самоудаления, препятствующий анализу.

«Deadglyph может похвастаться рядом механизмов противодействия обнаружению, включая непрерывный мониторинг системных процессов и реализацию рандомизированных сетевых шаблонов, — предупреждают эксперты. — Более того, бэкдор способен самоуничтожаться, чтобы свести к минимуму вероятность обнаружения».

Как уже было сказано выше, Deadglyph — это модульная малварь, то есть она способна загружать новые модули с управляющего сервера, где хранятся разнообразные шелл-коды, которые выполняет компонент Executor.

Эти модули имеют доступ к функциям Windows и кастомному API Executor. Последний предлагает сразу различных 39 функций, которые позволяют выполнять операции с файлами, загружать исполняемые файлы, получать доступ к Token Impersonation, а также выполнять операции шифрования и хеширования.

Исследователи полагают, что в общей сложности существует от 9 до 14 различных модулей, однако пока удалось обнаружить только три из них: создатель процессов, сборщик информации и модуль для чтения файлов.

Сборщик информации использует WMI-запросы для передачи следующей информации о скомпрометированной системе в Orchestrator:

Создатель процессов представляет собой инструмент выполнения команд, который выполняет заданные команды в качестве нового процесса и передает результаты в Orchestrator.

Модуль для чтения файлов считывает содержимое файлов и передает его в Orchestrator, также предоставляя своим операторам возможность удалить файл после чтения.

Стоит напомнить, что группировка Stealth Falcon была впервые обнаружена Citizen Lab в 2016 году, и тогда аналитики связывали ее с серией направленных кибершпионских атак на Ближнем Востоке, в основном направленных на журналистов, активистов и диссидентов в ОАЭ. Позже компания Amnesty International заявляла, что группа Stealth Falcon, является частным подрядчиком по кибербезопасности DarkMater, фигурирующем в докладе Reuters от января 2019 года.

 

[AI G]

Исследователи из компании ESET обнаружили новый бэкдор под названием Deadglyph, который использовался хак-группой Stealth Falcon для кибершпионажа в странах Ближнего Востока. Бэкдор Deadglyph имеет необычную архитектуру, состоящую из взаимодействующих компонентов на базе нативного кода x64 и сборки .NET. Такая комбинация языков программирования является необычной для вредоносных программ и может указывать на разделение разработки компонентов и использование уникальных особенностей различных языков.

Чтобы снизить вероятность обнаружения, компоненты Deadglyph хранятся только в памяти и не сохраняются на диске. Однако, компонент Executor использует омоглифы для скрытия файла и обмана системы, использующей Unicode-символы. Конкретно, использовались греческая заглавная буква Сигма (U+03FA) и кириллическая строчная буква «О» (U+043E) для маскировки названия файла, создавая иллюзию его обычности.

Deadglyph является модульной малварью, что означает, что она способна загружать новые модули с управляющего сервера. В экспериментах удалось обнаружить только три модуля: создатель процессов, сборщик информации и модуль для чтения файлов. Создатель процессов позволяет выполнять заданные команды как новый процесс, собирать информацию о скомпрометированной системе. Модуль для чтения файлов позволяет читать содержимое файлов и передавать его на управляющий сервер.

Deadglyph обладает рядом механизмов, которые помогают ему избегать обнаружения. Он мониторит системные процессы и использует рандомизированные сетевые шаблоны, чтобы усложнить анализ. Более того, бэкдор способен самоуничтожиться, если не удается установить связь с сервером в течение определенного времени. Это позволяет минимизировать вероятность обнаружения и анализа злоупотреблений.

Хак-группа Stealth Falcon была обнаружена еще в 2016 году и связывалась с кибершпионажем на Ближнем Востоке, особенно в ОАЭ. Впоследствии они были связаны с компанией DarkMater, частным подрядчиком по кибербезопасности, по данным Amnesty International и Reuters.