LuaDream Malware
En spirende trusselsaktør, tidligere ukendt og ved navn 'Sandman', er blevet identificeret som gerningsmanden bag en række cyberangreb, der specifikt har rettet sig mod telekommunikationsudbydere i regioner, der spænder over Mellemøsten, Vesteuropa og det sydasiatiske subkontinent. Disse cyberindtrængen er afhængige af brugen af en just-in-time (JIT) compiler designet til programmeringssproget Lua, kendt som LuaJIT. Denne compiler fungerer som redskabet til at implementere nyopdaget truende software, kaldet 'LuaDream'.
Forskere har bemærket, at disse observerede aktiviteter er præget af strategisk lateral bevægelse mod særlige, omhyggeligt udvalgte arbejdsstationer med minimal interaktion. Denne adfærd antyder en beregnet tilgang designet til at opnå specifikke mål og samtidig minimere risikoen for påvisning. Tilstedeværelsen af LuaDream understreger yderligere det sofistikerede ved denne operation, hvilket indikerer, at det er et veludført, aktivt vedligeholdt og kontinuerligt udviklet projekt af betydelig skala.
Cyberkriminelle bag LuaDream har brugt en sjælden tilgang
Tilstedeværelsen af strengartefakter i implantatets kildekode peger på en betydelig tidslinje, med referencer tilbage til 3. juni 2022, hvilket tyder på, at det forberedende arbejde til denne operation har stået på i over et år.
LuaDream iscenesættelsesprocessen er omhyggeligt udformet for at undgå registrering og hindre analyse, hvilket muliggør en problemfri implementering af malware direkte i computerens hukommelse. Denne iscenesættelsesteknik er stærkt afhængig af LuaJIT-platformen, som er en just-in-time-kompiler designet til Lua-scriptsproget. Det primære mål er at gøre det udfordrende at opdage den beskadigede Lua-scriptkode. Der er mistanke om, at LuaDream kan tilhøre en ny stamme af malware kendt som DreamLand.
Brugen af Lua-baseret malware er en relativ sjældenhed i trusselslandskabet, med kun tre dokumenterede tilfælde observeret siden 2012.
LuaDream er udstyret med potente cyberspionage-egenskaber
Angriberne er blevet observeret deltage i en række aktiviteter, herunder tyveri af administrative akkreditiver og udføre rekognoscering for at infiltrere specifikke arbejdsstationer af interesse. Deres ultimative mål er at implementere LuaDream.
LuaDream er en modulær multi-protokol bagdør bestående af 13 kernekomponenter og 21 støttekomponenter. Dens primære funktion er at eksfiltrere både system- og brugerinformation, ud over at administrere forskellige plugins, der leveres af hackere, der forbedrer dets muligheder, såsom kommandoudførelse. Desuden inkorporerer LuaDream adskillige anti-debugging-mekanismer for at undgå detektion og modstå analyse.
For at etablere en Command-and-Control-kommunikation (C2) når LuaDream ud til et domæne ved navn "mode.encagil.com" ved hjælp af WebSocket-protokollen. Det har dog også evnen til at acceptere indgående forbindelser via TCP-, HTTPS- og QUIC-protokoller.
Kernemodulerne omfatter alle de førnævnte funktionaliteter. Samtidig spiller supportkomponenterne en afgørende rolle i at udvide bagdørens muligheder, så den kan lytte efter forbindelser baseret på Windows HTTP server API og udføre kommandoer efter behov.
LuaDream fungerer som et bemærkelsesværdigt eksempel på det vedvarende engagement og opfindsomhed, der udvises af trusselsaktører i cyberspionage, mens de konstant forbedrer og forfiner deres arsenal af truende værktøjer og teknikker. Dette fremhæver den dynamiske og udviklende karakter af cybertrusler i det moderne landskab, hvor angribere konsekvent stræber efter at være på forkant med sikkerhedsforanstaltninger og bevare deres effektivitet i at infiltrere og kompromittere målsystemer.
