Κακόβουλο λογισμικό OneClik

Μια εξελιγμένη κυβερνοεκστρατεία με την ονομασία OneClik στοχεύει τους τομείς της ενέργειας, του πετρελαίου και του φυσικού αερίου χρησιμοποιώντας ένα μείγμα παραπλανητικών μεθόδων ανάπτυξης και ειδικά κατασκευασμένου κακόβουλου λογισμικού. Στην καρδιά αυτής της επιχείρησης βρίσκεται η κατάχρηση της τεχνολογίας ClickOnce της Microsoft και ένα ισχυρό backdoor με βάση το Golang που ονομάζεται RunnerBeacon. Αν και οι ενδείξεις υποδηλώνουν μια πιθανή σύνδεση με Κινέζους απειλητικούς παράγοντες, η απόδοση της ευθύνης παραμένει διστακτική.

ClickOnce: Ένα εργαλείο ανάπτυξης με δύο όψεις

Το ClickOnce της Microsoft έχει σχεδιαστεί για να απλοποιεί τη διαδικασία ανάπτυξης και ενημέρωσης εφαρμογών των Windows, επιτρέποντας εγκαταστάσεις με ελάχιστη αλληλεπίδραση χρήστη. Αυτή η λειτουργία, που εισήχθη στο .NET Framework 2.0, επιτρέπει στις εφαρμογές να εκτελούνται με περιορισμένα δικαιώματα χωρίς να απαιτούνται δικαιώματα διαχειριστή.

Δυστυχώς, αυτή η ευκολία έχει καταστήσει το ClickOnce ένα πολύτιμο πλεονέκτημα για τους κυβερνοεγκληματίες. Κακόβουλες εφαρμογές μπορούν να αναπτυχθούν χρησιμοποιώντας ένα αξιόπιστο δυαδικό αρχείο των Windows (dfsvc.exe), το οποίο χειρίζεται τις εφαρμογές ClickOnce. Αυτές οι εφαρμογές εκτελούνται ως θυγατρική διεργασία του dfsvc.exe, επιτρέποντας στους εισβολείς να εκτελούν κρυφά κακόβουλο κώδικα χωρίς να ενεργοποιούν συναγερμούς ασφαλείας ή να χρειάζονται αυξημένα δικαιώματα.

Τακτικές Διείσδυσης: Ηλεκτρονικό Φάσμα (Phishing) και Απάτη

Η αλυσίδα της επίθεσης ξεκινά με καλοσχεδιασμένα email ηλεκτρονικού "ψαρέματος" (phishing) που παρασύρουν τα θύματα σε έναν ψεύτικο ιστότοπο ανάλυσης υλικού. Μόλις το θύμα επισκεφτεί τον ιστότοπο, παραδίδεται και εκκινείται μια κακόβουλη εφαρμογή ClickOnce χρησιμοποιώντας το dfsvc.exe.

Αυτός ο φορτωτής εισάγει κακόβουλο κώδικα στη μνήμη χρησιμοποιώντας μια μέθοδο γνωστή ως AppDomainManager injection, με αποτέλεσμα την εκτέλεση ενός κρυπτογραφημένου shellcode. Το απόλυτο payload είναι το RunnerBeacon, ένα εξελιγμένο backdoor Golang.

RunnerBeacon: Ένα ισχυρό και ευέλικτο εμφύτευμα

Η κερκόπορτα RunnerBeacon έχει σχεδιαστεί για να υποστηρίζει ένα ευρύ φάσμα δυνατοτήτων, όπως:

• Επικοινωνία μέσω πολλαπλών πρωτοκόλλων: HTTP(S), WebSockets, raw TCP και επώνυμες σωληνώσεις SMB
• Εκτέλεση εντολών shell και λειτουργιών συστήματος αρχείων
• Απαρίθμηση και τερματισμός διεργασιών
• Κλιμάκωση προνομίων μέσω κλοπής διακριτικών και πλαστοπροσωπίας
• Πλευρική κίνηση μέσα σε ένα δίκτυο

Διαθέτει επίσης προηγμένες τεχνικές κατά της ανάλυσης και αποφυγής, μαζί με υποστήριξη για λειτουργίες που βασίζονται στο δίκτυο, όπως σάρωση θυρών, προώθηση θυρών και proxying SOCKS5.

Ένας κλώνος του Geacon;

Το RunnerBeacon παρουσιάζει έντονες ομοιότητες με τις παραλλαγές του Cobalt Strike που βασίζονται σε Go, όπως τα Geacon, Geacon Plus και Geacon Pro. Αντικατοπτρίζει τις δομές εντολών, τα χαρακτηριστικά επικοινωνίας μεταξύ πρωτοκόλλων και την επιχειρησιακή ευελιξία τους. Αυτά τα χαρακτηριστικά υποδηλώνουν ότι το RunnerBeacon μπορεί να είναι μια προσαρμοσμένη ή εξελιγμένη διακλάδωση του Geacon, βελτιωμένη ώστε να ενσωματώνεται άψογα σε περιβάλλοντα cloud.

Εξελισσόμενη απειλή: Εντοπίστηκαν πολλαπλές παραλλαγές

Οι ερευνητές στον τομέα της κυβερνοασφάλειας εντόπισαν τρεις ξεχωριστές παραλλαγές του OneClik μόνο τον Μάρτιο του 2025:

• έκδοση 1α
• BPI-MDM
• έκδοση 1d

Κάθε έκδοση περιλαμβάνει βελτιώσεις που ενισχύουν τα συστήματα ανίχνευσης stealth και bypass. Ωστόσο, ίχνη του RunnerBeacon είχαν ήδη ανακαλυφθεί τον Σεπτέμβριο του 2023 σε μια εταιρεία στον τομέα πετρελαίου και φυσικού αερίου της Μέσης Ανατολής, γεγονός που υποδηλώνει συνεχή ανάπτυξη και δοκιμές.

Τεχνικές και Απόδοση: Γνωστές αλλά Μη Επιβεβαιωμένες

Η χρήση της ένεσης AppDomainManager είναι μια καλά τεκμηριωμένη τακτική και έχει παρατηρηθεί στο παρελθόν σε κυβερνοεκστρατείες που σχετίζονται με κινέζους και βορειοκορεάτες απειλητικούς παράγοντες. Ωστόσο, παρά τις ομοιότητες στην τεχνική και την προσέγγιση, οι ερευνητές δεν έχουν καταφέρει να αποδώσουν οριστικά την εκστρατεία OneClik σε κάποια γνωστή ομάδα.

Όσον αφορά τον εντοπισμό σημαδιών παραβίασης, οι οργανισμοί θα πρέπει να είναι σε εγρήγορση για email ηλεκτρονικού "ψαρέματος" (phishing) που κατευθύνουν τους παραλήπτες σε δόλιες ιστοσελίδες ανάλυσης υλικού, καθώς αυτές είναι συχνά τα αρχικά σημεία εισόδου για την επίθεση. Ένα άλλο προειδοποιητικό σημάδι είναι η χρήση εφαρμογών ClickOnce που εκκινούνται μέσω της διαδικασίας dfsvc.exe, η οποία μπορεί να υποδηλώνει την παρουσία κακόβουλων φορτίων. Η ύποπτη ανάπτυξη τεχνικών έγχυσης AppDomainManager και οι εξερχόμενες συνδέσεις σε υποδομή που ελέγχεται από εισβολείς και φιλοξενείται στις υπηρεσίες Amazon Web Services (AWS) αποτελούν επίσης ισχυρές ενδείξεις παραβίασης.

Για την άμυνα κατά τέτοιων απειλών, οι επιχειρήσεις θα πρέπει να εξετάσουν το ενδεχόμενο απενεργοποίησης ή στενής παρακολούθησης των αναπτύξεων ClickOnce, ιδιαίτερα σε περιβάλλοντα υψηλού κινδύνου. Οι ομάδες ασφαλείας θα πρέπει να παρακολουθούν για ανώμαλες θυγατρικές διεργασίες που προέρχονται από το dfsvc.exe, οι οποίες θα μπορούσαν να σηματοδοτούν κακόβουλη δραστηριότητα. Η ανάπτυξη λύσεων ανίχνευσης και απόκρισης τελικών σημείων (EDR) μπορεί να βοηθήσει στον εντοπισμό και τον μετριασμό συμπεριφορών έγχυσης AppDomain. Επιπλέον, η εξέταση της κυκλοφορίας δικτύου για ασυνήθιστη χρήση πρωτοκόλλου, όπως απροσδόκητη συμπεριφορά διακομιστή μεσολάβησης ή προσπάθειες προώθησης θυρών, μπορεί να βοηθήσει στην ανίχνευση κρυφών καναλιών επικοινωνίας.

Σύναψη

Η καμπάνια OneClik υπογραμμίζει τον τρόπο με τον οποίο οι αντίπαλοι βελτιώνουν συνεχώς τις τακτικές τους για να εκμεταλλευτούν νόμιμες τεχνολογίες. Για τους οργανισμούς που δραστηριοποιούνται σε τομείς κρίσιμων υποδομών, η διατήρηση μιας επαγρύπνησης και η εφαρμογή πολυεπίπεδων αμυντικών συστημάτων ασφαλείας παραμένει απαραίτητη για τον μετριασμό των επιπτώσεων τέτοιων προηγμένων απειλών.