StingyBasilisk использует именованные каналы в Windows
APT StingyBasilisk как минимум с апреля 2022 года поддерживала долгосрочный доступ к скомпрометированным средам Windows, вероятно, для шпионажа. Первоначальный вектор заражения неизвестен. Группа широко использовала именованные каналы Windows для управления, доставки полезной нагрузки и обмена данными между скомпрометированными системами.
Закрепление и управление через именованные каналы
Вредоносное ПО группы в основном состояло из DLL-файлов, которые ожидали команд или зашифрованного шеллкода и выполняли полезную нагрузку в памяти процесса. Для закрепления StingyBasilisk применяла перехват COM-объектов и поставщики времени Windows.
DLL-файлы SilentCOM перехватывали COM-объекты Network List Manager и Network Configuration, меняя значение реестра TreatAs. Они перенаправляли запросы к легитимным COM-библиотекам, чтобы системные функции продолжали работать, и одновременно прослушивали именованные каналы в ожидании зашифрованного шеллкода. DLL-файлы могли прерывать выполнение, если запускались не в ожидаемом контексте svchost.exe -k netsvcs. Шеллкод SilentCOM использовал прямые системные вызовы, расшифровывал дополнительные полезные нагрузки, генерировал ключи сеанса и получал через тот же канал компоненты для постэксплуатации.
Поставщики времени, перемещение по сети и CunningDoor
StingyBasilisk также регистрировала вредоносные DLL в ключе реестра TimeProviders службы Windows Time, чтобы они запускались при загрузке системы. TediousLoader использовал обратный вызов TimeProvOpen и создавал сырые сокеты для каждого сетевого адаптера. С помощью параметра SIO_RCVALL он включал неблокирующий захват трафика в промискуозном режиме, анализировал IPv4, ICMP, TCP и UDP-трафик и искал в содержимом пакетов восьмисимвольную магическую сигнатуру. Специально сформированные пакеты содержали зашифрованные данные конфигурации и параметры загрузки произвольного кода. Это позволяло вредоносному ПО работать без стандартного сетевого соединения.
Для перемещения внутри компании злоумышленники передавали файлы по SMB, как правило, в каталог C:\Windows\Temp, и применяли технику atexec из пакета Impacket. Она позволяла выполнять команды через Планировщик заданий Windows и именованный канал atsvc.
Начиная с февраля 2026 года злоумышленники распространяли CunningDoor, подменяя DLL и используя легитимные библиотеки, подписанные SafeNet. Вредоносные DLL расшифровывали шеллкод в несколько этапов с помощью XOR, разрешали API по хэшированным именам и либо создавали именованные каналы с определённым шаблоном, либо подключались к конкретному IP-адресу и порту. Передаваемые через каналы полезные нагрузки использовали зашифрованные форматы с векторами инициализации, хэшами, длинами и шеллкодом. Связанный компонент HenMapCaCon создавал TLS-сервер на базе именованного канала. Его дескриптор безопасности ограничивал доступ для процессов с недоверенным уровнем целостности.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
