Na novo identificirani kitajski APT skriva stranska vrata v posodobitvah programske opreme

Ponovno objavil Platon

Spremljevalci: 0

Od leta 2018 prej neznani akter kitajske grožnje uporablja nova stranska vrata v napadih kibernetskega vohunjenja nasprotnika v sredini (AitM) proti kitajskim in japonskim tarčam.

Konkretne žrtve skupina, ki jo je ESET poimenoval »Blackwood« vključujejo veliko kitajsko proizvodno in trgovsko podjetje, kitajsko pisarno japonskega inženirskega in proizvodnega podjetja, posameznike na Kitajskem in Japonskem ter kitajsko govorečo osebo, povezano z odmevno raziskovalno univerzo v Združenem kraljestvu.

Da Blackwood razkrivajo šele zdaj, več kot pol desetletja od njegove prve znane dejavnosti, je mogoče pripisati predvsem dvema stvarema: njegovi zmožnosti brez truda prikrivajo zlonamerno programsko opremo v posodobitvah priljubljenih programskih izdelkov kot je WPS Office, in sama zlonamerna programska oprema, zelo sofisticirano orodje za vohunjenje, imenovano »NSPX30«.

Blackwood in NSPX30

Medtem je prefinjenost NSPX30 mogoče pripisati skoraj dvema desetletjema raziskav in razvoja.

Po mnenju analitikov družbe ESET NSPX30 izhaja iz dolge linije zakulisnih vrat, ki segajo v čas, ki so ga posmrtno poimenovali "Project Wood", navidezno prvič sestavljenega 9. januarja 2005.

Iz projekta Wood – ki je bil na različnih točkah uporabljen za tarčo hongkonškega politika, nato pa tarče v Tajvanu, Hongkongu in jugovzhodni Kitajski – so prišle nadaljnje različice, vključno z DCM iz leta 2008 (aka »Dark Spectre«), ki je preživel leta zlonamerne kampanje do leta 2018.

NSPX30, razvit istega leta, je vrhunec vsega kibernetskega vohunjenja pred njim.

Večstopenjsko večnamensko orodje, sestavljeno iz dropperja, namestitvenega programa DLL, nalagalnikov, orkestratorja in backdoorja, pri čemer zadnja dva prihajata z lastnimi kompleti dodatnih zamenljivih vtičnikov.

Ime igre je kraja informacij, ne glede na to, ali gre za podatke o sistemu ali omrežju, datoteke in imenike, poverilnice, pritiske tipk, posnetke zaslona, zvok, klepete in sezname stikov iz priljubljenih aplikacij za sporočanje – WeChat, Telegram, Skype, Tencent QQ, itd. — in še več.

Med drugimi talenti lahko NSPX30 vzpostavi obratno lupino, se doda na sezname dovoljenih v kitajskih protivirusnih orodjih in prestreže omrežni promet. Ta zadnja zmožnost omogoča Blackwoodu, da učinkovito prikrije svojo infrastrukturo za poveljevanje in nadzor, kar je morda prispevalo k njegovemu dolgotrajnemu delovanju brez odkritja.

Zadnja vrata, skrita v posodobitvah programske opreme

Blackwoodov največji trik od vseh pa je hkrati tudi njegova največja skrivnost.

Za okužbo strojev z NSPX30 ne uporablja nobenih tipičnih trikov: lažnega predstavljanja, okuženih spletnih strani itd. Namesto tega, ko določeni popolnoma zakoniti programi poskušajo prenesti posodobitve iz enako zakonitih korporativnih strežnikov prek nešifriranega HTTP-ja, Blackwood nekako vstavi tudi svoja zadnja vrata. v mešanico.

Z drugimi besedami, to ni kršitev dobavne verige prodajalca v slogu SolarWinds. Namesto tega ESET špekulira, da Blackwood morda uporablja omrežne vsadke. Takšni vsadki so lahko shranjeni v ranljivih robnih napravah v ciljnih omrežjih, kot so pogost med drugimi kitajskimi APT.

Programski izdelki, ki se uporabljajo za širjenje NSPX30, vključujejo WPS Office (priljubljeno brezplačno alternativo Microsoftovi in Googlovi zbirki pisarniške programske opreme), storitev za neposredno sporočanje QQ (ki jo je razvil multimedijski velikan Tencent) in urejevalnik vnosnih metod Sogou Pinyin (kitajski trg- vodilno orodje za pinjin s stotinami milijonov uporabnikov).

Kako se torej lahko organizacije branijo pred to grožnjo? Zagotovite, da vaše orodje za zaščito končne točke blokira NSPX30, in bodite pozorni na zaznave zlonamerne programske opreme, povezane z zakonitimi programskimi sistemi, svetuje Mathieu Tartare, višji raziskovalec zlonamerne programske opreme pri ESET. "Prav tako pravilno spremljajte in blokirajte napade AitM, kot je zastrupitev z ARP - sodobna stikala imajo funkcije, namenjene ublažitvi takšnih napadov," pravi. Onemogočanje IPv6 lahko pomaga preprečiti napad IPv6 SLAAC, dodaja.

"Pomagalo bo tudi dobro segmentirano omrežje, saj bo AitM vplival samo na podomrežje, kjer se izvaja," pravi Tartare.