Nylig identifisert kinesisk APT skjuler bakdør i programvareoppdateringer

Publisert av Platon

Følgere: 0

Siden 2018 har en tidligere ukjent kinesisk trusselskuespiller brukt en ny bakdør i motstander-i-midten (AitM) cyberspionasjeangrep mot kinesiske og japanske mål.

Spesifikke ofre for gruppen som ESET har kalt "Blackwood" inkludere et stort kinesisk produksjons- og handelsselskap, det kinesiske kontoret til et japansk ingeniør- og produksjonsselskap, enkeltpersoner i Kina og Japan, og en kinesisktalende person knyttet til et høyprofilert forskningsuniversitet i Storbritannia.

At Blackwood først blir satt ut nå, mer enn et halvt tiår siden den tidligste kjente aktiviteten, kan først og fremst tilskrives to ting: dens evne til uanstrengt skjule skadelig programvare i oppdateringer for populære programvareprodukter som WPS Office, og selve skadevaren, et svært sofistikert spionasjeverktøy kalt "NSPX30."

Blackwood og NSPX30

Sofistikeringen til NSPX30 kan i mellomtiden tilskrives nesten to hele tiår med forskning og utvikling.

I følge ESET-analytikere følger NSPX30 fra en lang rekke bakdører som dateres tilbake til det de postuum har kalt «Project Wood», som tilsynelatende først ble samlet tilbake 9. januar 2005.

Fra Project Wood - som på forskjellige punkter ble brukt til å målrette en Hong Kong-politiker, og deretter mål i Taiwan, Hong Kong og sørøst-Kina - kom ytterligere varianter, inkludert 2008s DCM (aka "Dark Spectre"), som overlevde i ondsinnede kampanjer frem til 2018.

NSPX30, utviklet samme år, er høydepunktet for all cyberspionasje som kom før den.

Det flertrinnsvise, multifunksjonelle verktøyet består av en dropper, et DLL-installasjonsprogram, lastere, orkestrator og bakdør, med de to sistnevnte med sine egne sett med ekstra, utskiftbare plug-ins.

Navnet på spillet er informasjonstyveri, enten det er data om systemet eller nettverket, filer og kataloger, legitimasjon, tastetrykk, skjermbilder, lyd, chatter og kontaktlister fra populære meldingsapper — WeChat, Telegram, Skype, Tencent QQ, etc. - og mer.

Blant andre talenter kan NSPX30 etablere et omvendt skall, legge seg til godkjenningslister i kinesiske antivirusverktøy og avskjære nettverkstrafikk. Denne sistnevnte evnen gjør at Blackwood effektivt kan skjule sin kommando-og-kontroll-infrastruktur, noe som kan ha bidratt til dens lange løp uten oppdagelse.

En bakdør skjult i programvareoppdateringer

Blackwoods største triks av alle fungerer imidlertid også som det største mysteriet.

For å infisere maskiner med NSPX30, bruker den ikke noen av de typiske triksene: phishing, infiserte nettsider osv. I stedet, når visse helt legitime programmer prøver å laste ned oppdateringer fra like legitime bedriftsservere via ukryptert HTTP, injiserer Blackwood på en eller annen måte også bakdøren. inn i blandingen.

Med andre ord, dette er ikke et leverandørkjedebrudd i SolarWinds-stil. I stedet spekulerer ESET i at Blackwood kan bruke nettverksimplantater. Slike implantater kan lagres i sårbare kantenheter i målrettede nettverk, som de er vanlig blant andre kinesiske APT-er.

Programvareproduktene som brukes til å spre NSPX30 inkluderer WPS Office (et populært gratis alternativ til Microsoft og Googles pakke med kontorprogramvare), QQ-direktemeldingstjenesten (utviklet av multimediegiganten Tencent), og Sogou Pinyin-inndatametoderedigereren (Kinas marked- ledende pinyin-verktøy med hundrevis av millioner brukere).

Så hvordan kan organisasjoner forsvare seg mot denne trusselen? Forsikre deg om at verktøyet for endepunktbeskyttelse blokkerer NSPX30, og vær oppmerksom på deteksjon av skadelig programvare relatert til legitime programvaresystemer, råder Mathieu Tartare, seniorforsker av skadelig programvare ved ESET. "Også, overvåk og blokker AitM-angrep som ARP-forgiftning på riktig måte - moderne brytere har funksjoner designet for å dempe slike angrep," sier han. Deaktivering av IPv6 kan bidra til å hindre et IPv6 SLAAC-angrep, legger han til.

"Et godt segmentert nettverk vil også hjelpe, siden AitM vil påvirke bare undernettet der det utføres," sier Tartare.