Lors de la surveillance des menaces à la sécurité des informations en mai 2020, les experts de Positive Technologies ont découvert plusieurs nouveaux échantillons de logiciels malveillants (malware). À première vue, ils auraient dû être attribués au groupe Higaisa, mais une analyse détaillée a montré qu'ils devraient être associés au groupe Winnti (également connu sous le nom d'APT41, selon FireEye).
Une surveillance détaillée a également révélé de nombreuses autres instances du malware du groupe APT41, notamment des portes dérobées, des compte-gouttes, des chargeurs et des injecteurs. Nous avons également pu trouver des échantillons d'une porte dérobée jusque-là inconnue (nous l'avons appelée FunnySwitch) avec une fonctionnalité de messagerie peer-to-peer atypique. Un rapport détaillé peut être trouvé ici , et dans cet article, nous vous expliquerons comment notre recherche a commencé.
introduction
La première attaque qui a attiré l'attention des experts date du 12 mai 2020.
Le fichier malveillant qui y est utilisé est une archive nommée Project link et New copyright policy.rar (c3a45aaf6ba9f2a53d26a96406b6c34a56f364abe1dd54d55461b9cc5b9d9a04). L'archive contient un document leurre au format PDF (Zeplin Copyright Policy.pdf), ainsi qu'un dossier Tous les projets délictueux - Web lnks avec deux raccourcis:
Conversations - iOS - Swipe Icons - Zeplin.lnk,
Tokbox icon - Odds and Ends - iOS - Zeplin.lnk.
20200308-sitrep-48-covid-19.pdf.lnk, Higaisa 2020.
― , LNK- Base64 CAB-, . JS-.
, , 3t54dE3r.tmp.
30 2020 — CVColliers.rar (df999d24bde96decdbb65287ca0986db98f73b4ed477e18c3ef100064bceba6d) :
Curriculum VitaeWANG LEI_Hong Kong Polytechnic University.pdf.lnk,
International English Language Testing System certificate.pdf.lnk.
12 . PDF-, IELTS.
Malwarebytes Zscaler. , Higaisa.
, , , Crosswalk. 2017 FireEye APT41 (Winnti).
APT41: IP- C2- SSL- SHA-1 b8cff709950cfa86665363d9553532db9922265c, IP- 67.229.97[.]229, CrowdStrike 2018 . Kaspersky 2013 .
, LNK- Winnti (APT41), Higaisa .
Crosswalk
Crosswalk , . , 20 , .
:
(uptime);
IP- ;
MAC- ;
;
;
;
;
PID ;
.
32-, 64- . , — 1.0, 1.10, 1.21, 1.22, 1.25, 2.0.
Crosswalk , Crosswalk . ― . VMProtect.
, SeDebugPrivilege, PID . explorer.exe winlogon.exe.
:
Crosswalk,
Metasploit stager,
FunnySwitch ( ).
― . : , .
, LNK-.
Winnti , . , Metasploit, Cobalt Strike, PlugX, , . , 2020 ― FunnySwitch.
, .
, Positive Technologies. Winnti.