Enquête sur l'activité du groupe Wintti: Shadowpad, portes dérobées xDLL et nouveaux outils de développement d'attaques

En mars 2020, dans le cadre d'une étude sur les menaces à la sécurité de l'information, les spécialistes de PT Expert Security Center ont découvert une porte dérobée jusque-là inconnue et l'ont nommée xDll, d'après le nom d'origine dans le code. En raison d'une erreur de configuration sur le serveur de contrôle, certains répertoires sont devenus accessibles de l'extérieur. 

, Shadowpad, xDll, Python-, .. Shadowpad Winnti .

, .

Winnti ShadowPad,

ShadowPad Winnti (APT41, BARIUM, AXIOM), 2012 . . — . . Winnti , supply chain watering hole. 

, , , , , , , , , .. 

, - , , , , , .

ShadowPad 2017 . supply chain (, , CCleaner ASUS). Winnti ShadowPad ESET 2020 .

, xDll (. 2.2), - APT- . www.g00gle_jp.dynamic-dns[.]net, . , . 

, , , . , , XOR 0x37. SkinnyD (Skinny Downloader) - . URL SkinnyD xDll . 

SkinnyD, . xDll. . x.jpg ― xDll, XOR 0x37. , xDll SkinnyD. 

cache.

, . MD5-- MAC- , xDll, . , , , , : 1990 . , .

ShadowPad, Python- .

, 50 . . , , .

:

• ,

• ,

• — , ,

• — : , .

CERT.

, ShadowPad supply chain , , , , .

Winnti, , 2019 . , Winnti. «» , . — SkinnyD, xDll, Python-.

, , , , , , , 459 Tonto team. Nettraveler. 

, ( ), , Winnti, , . .

. , , , 80% . , . .

Winnti , . , , , CCleaner ASUS.