Mientras monitoreaban las amenazas a la seguridad de la información en mayo de 2020, los expertos de Positive Technologies descubrieron varias muestras nuevas de malware (malware). A primera vista, deberían haber sido atribuidos al grupo Higaisa, pero un análisis detallado mostró que deberían estar asociados con el grupo Winnti (también conocido como APT41, según FireEye).
El monitoreo detallado también reveló muchas otras instancias del malware del grupo APT41, incluidas puertas traseras, goteros, cargadores e inyectores. También pudimos encontrar muestras de una puerta trasera previamente desconocida (la llamamos FunnySwitch) con una funcionalidad de mensajería de igual a igual atípica. Puede encontrar un informe detallado aquí , y en este artículo le contaremos cómo comenzó nuestra investigación.
Introducción
El primer ataque que llamó la atención de los expertos fue el 12 de mayo de 2020.
El archivo malicioso que se utiliza en él es un archivo denominado Enlace del proyecto y New copyright policy.rar (c3a45aaf6ba9f2a53d26a96406b6c34a56f364abe1dd54d55461b9cc5b9d9a04). El archivo contiene un documento señuelo en formato PDF (Zeplin Copyright Policy.pdf), así como una carpeta Todos los proyectos de agravios: enlaces web con dos atajos:
Conversations - iOS - Swipe Icons - Zeplin.lnk,
Tokbox icon - Odds and Ends - iOS - Zeplin.lnk.
20200308-sitrep-48-covid-19.pdf.lnk, Higaisa 2020.
― , LNK- Base64 CAB-, . JS-.
, , 3t54dE3r.tmp.
30 2020 — CVColliers.rar (df999d24bde96decdbb65287ca0986db98f73b4ed477e18c3ef100064bceba6d) :
Curriculum VitaeWANG LEI_Hong Kong Polytechnic University.pdf.lnk,
International English Language Testing System certificate.pdf.lnk.
12 . PDF-, IELTS.
Malwarebytes Zscaler. , Higaisa.
, , , Crosswalk. 2017 FireEye APT41 (Winnti).
APT41: IP- C2- SSL- SHA-1 b8cff709950cfa86665363d9553532db9922265c, IP- 67.229.97[.]229, CrowdStrike 2018 . Kaspersky 2013 .
, LNK- Winnti (APT41), Higaisa .
Crosswalk
Crosswalk , . , 20 , .
:
(uptime);
IP- ;
MAC- ;
;
;
;
;
PID ;
.
32-, 64- . , — 1.0, 1.10, 1.21, 1.22, 1.25, 2.0.
Crosswalk , Crosswalk . ― . VMProtect.
, SeDebugPrivilege, PID . explorer.exe winlogon.exe.
:
Crosswalk,
Metasploit stager,
FunnySwitch ( ).
― . : , .
, LNK-.
Winnti , . , Metasploit, Cobalt Strike, PlugX, , . , 2020 ― FunnySwitch.
, .
, Positive Technologies. Winnti.