Περιτύλιγμα Πελμενίου
Αναλυτές κυβερνοασφάλειας έχουν ανακαλύψει μια νέα καμπάνια Turla που παρουσιάζει καινοτόμες στρατηγικές και μια εξατομικευμένη προσαρμογή του Kazuar Trojan, που διανέμεται μέσω ενός άγνωστου περιτυλίγματος που ονομάζεται Pelmeni.
Η Turla , μια ομάδα κυβερνοκατασκοπείας APT (Advanced Persistent Threat) που συνδέεται με τη ρωσική FSB, είναι γνωστή για τη σχολαστική στόχευση και τον αταλάντευτο επιχειρησιακό της ρυθμό. Από το 2004, η Turla έχει μηδενιστεί σε κυβερνητικούς φορείς, ερευνητικά ιδρύματα, διπλωματικές αποστολές και τομείς όπως η ενέργεια, οι τηλεπικοινωνίες και τα φαρμακευτικά προϊόντα σε παγκόσμια κλίμακα.
Η εξεταζόμενη καμπάνια υπογραμμίζει την τάση του Turla για ακριβή χτυπήματα. Η αρχική διείσδυση πιθανότατα λαμβάνει χώρα μέσω προηγούμενων μολύνσεων, οι οποίες διαδέχονται την ανάπτυξη ενός απειλητικού DLL καμουφλαρισμένου σε φαινομενικά αυθεντικές βιβλιοθήκες από νόμιμες υπηρεσίες ή προϊόντα. Το Pelmeni Wrapper ξεκινά τη φόρτωση του επόμενου επιβλαβούς ωφέλιμου φορτίου.
Το Pelmeni Wrapper εκτελεί αρκετές απειλητικές λειτουργίες
Το Pelmeni Wrapper παρουσιάζει τις ακόλουθες λειτουργίες:
- Λειτουργική καταγραφή : Δημιουργεί ένα κρυφό αρχείο καταγραφής με τυχαία ονόματα και επεκτάσεις για την διακριτική παρακολούθηση των δραστηριοτήτων της καμπάνιας.
- Παράδοση ωφέλιμου φορτίου : Χρησιμοποιεί έναν εξατομικευμένο μηχανισμό αποκρυπτογράφησης που χρησιμοποιεί μια γεννήτρια ψευδοτυχαίων αριθμών για να διευκολύνει τη φόρτωση και την εκτέλεση λειτουργιών.
- Ανακατεύθυνση ροής εκτέλεσης : Χειρίζεται τα νήματα διεργασιών και εισάγει ενέσεις κώδικα για να ανακατευθύνει την εκτέλεση σε μια αποκρυπτογραφημένη διάταξη .NET που στεγάζει το κύριο κακόβουλο λογισμικό.
Το τελευταίο στάδιο της περίπλοκης αλυσίδας επίθεσης του Turla ξετυλίγεται με την ενεργοποίηση του Kazuar, ενός ευέλικτου δούρειου ίππου που αποτελεί βασικό στοιχείο στο οπλοστάσιο του Turla από την ανακάλυψή του το 2017. Οι ερευνητές παρατήρησαν ανεπαίσθητες αλλά συνεπείς εξελίξεις στην ανάπτυξη του Kazuar, τονίζοντας ένα νέο πρωτόκολλο για δεδομένα διήθηση και αποκλίσεις στον κατάλογο καταγραφής - επαρκείς αποκλίσεις για τη διάκριση της νεότερης παραλλαγής από τις προκατόχους της.
