Embolcall de Pelmeni
Els analistes de ciberseguretat han descobert una nova campanya de Turla que mostra estratègies innovadores i una adaptació personalitzada del troià Kazuar, distribuïda a través d'un embolcall desconegut anomenat Pelmeni.
Turla , un grup d'espionatge cibernètic APT (Amenaça persistent avançada) vinculat a l'FSB rus, és conegut per la seva focalització meticulosa i el seu ritme operatiu inquebrantable. Des del 2004, Turla s'ha centrat en organismes governamentals, establiments de recerca, missions diplomàtiques i sectors com l'energia, les telecomunicacions i la farmacèutica a escala mundial.
La campanya examinada subratlla la inclinació de Turla per les vagues precises. La infiltració inicial probablement es produeix a través d'infeccions prèvies, succeïda pel desplegament d'una DLL amenaçadora camuflada dins de biblioteques aparentment autèntiques de serveis o productes legítims. L'embolcall Pelmeni inicia la càrrega de la càrrega útil perjudicial posterior.
L'embolcall de Pelmeni executa diverses funcions amenaçadores
Pelmeni Wrapper mostra les funcionalitats posteriors:
- Registre operatiu : genera un fitxer de registre ocult amb noms i extensions aleatoris per controlar les activitats de la campanya de manera discreta.
- Lliurament de càrrega útil : utilitza un mecanisme de desxifrat a mida que empra un generador de números pseudoaleatoris per facilitar la càrrega i l'execució de funcions.
- Redirecció del flux d'execució : manipula els fils de procés i introdueix injeccions de codi per redirigir l'execució a un conjunt .NET desxifrat que allotja el programari maliciós principal.
L'etapa final de la intricada cadena d'atac de Turla es desenvolupa amb l'activació de Kazuar, un cavall de Troia versàtil que ha estat un element bàsic de l'arsenal de Turla des del seu descobriment el 2017. Els investigadors han observat avenços subtils però conseqüents en el desplegament de Kazuar, destacant un nou protocol de dades. exfiltració i discrepàncies al directori de registre: desviacions suficients per distingir la variant més nova dels seus predecessors.
