Три кластера связаны общей инфраструктурой и кодом Sparrow
В экосистеме вредоносного ПО Sparrow исследователи выделили три кластера активности, связанные общей инфраструктурой и кодом. Фреймворк разрабатывает или поставляет CopperDragon, предположительно поддерживая нескольких злоумышленников, связанных с Китаем. Общие инструменты и инфраструктура указывают на связи между кластерами, но не подтверждают, что за всеми инцидентами несанкционированного доступа стояли одни и те же операторы.
Атаки SilentDelivery и OceanGate
SilentDelivery проводил избирательные атаки через заражённые сайты государственных, транспортных, ИТ- и исследовательских организаций, главным образом в Европе и Азии. Внедрённый JavaScript собирал цифровые отпечатки посетителей и подменял содержимое сайтов локализованной поддельной страницей с предупреждением о сертификате Chrome. Посетители, скачавшие и запустившие якобы утилиту для работы с сертификатами, получали SquadC, а в некоторых случаях вариант SparrowDoor.
SquadC представляет собой бэкдор для Windows, который многоэтапный загрузчик помещает в память. Он поддерживает выполнение команд и управление файлами, проверяет наличие индикаторов песочницы и может требовать, чтобы браузер был запущен. Для закрепления SquadC создаёт ключ Run в реестре Windows. Кроме того, SilentDelivery распространял его через архив с файлом LNK, доставляемый в рамках целевого фишинга.
OceanGate атаковала государственные организации и объекты критической инфраструктуры, преимущественно в Азии. Операторы использовали уязвимые Linux-серверы, доступные из интернета, и устанавливали AnnobinDoor, бэкдор на Go с функциями командной строки, управления файлами, проксирования, туннелирования и перенаправления портов. Затем они размещали SparrowShell, аналог SparrowDoor для Windows, в среде Linux.
Троянизированные компоненты SSH перехватывали учётные данные и обеспечивали перемещение внутри компании. FRPC, Chisel и сетевой сканер применялись для поддержания доступа и разведки. В средах Windows операторы использовали SparrowDoor и собственные инструменты для инвентаризации файлов, записи нажатий клавиш и активности буфера обмена, а также кражи учётных данных.
В некоторые образцы SparrowShell внедрили модифицированный руткит Reptile. В отдельных версиях SparrowDoor использовали WinDivert для перехвата и перенаправления пакетов. Это обеспечивало пассивный доступ к бэкдору через порты, которые используют легитимные службы. Сходство кода и инфраструктуры связывает SparrowShell с Melofee.
Инструменты и цели DarkWire
DarkWire нацеливалась на телекоммуникационных провайдеров и государственные организации, главным образом в Латинской Америке. Основными имплантами были CopperDoor, модульный бэкдор, работающий в памяти, и CopperDNS, который туннелировал управляющий трафик через DNS-запросы MX.
Операторы часто применяли боковую загрузку DLL и CopperLoader для загрузки зашифрованных полезных нагрузок. Дополнительные инструменты поддерживали проксирование SOCKS5 и UDP, извлечение учётных данных из LSASS и другие постэксплуатационные действия. В ходе активности также использовались передача данных по SMB, удалённое выполнение команд через WMI и переименованное программное обеспечение SoftEther VPN.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
