RTX-rotta

CPUID:hen liittyvä tietoturvaongelma altisti käyttäjät haittaohjelmille sen virallisen verkkosivuston cpuid.com kautta. Alle 24 tunnin ajan uhkatoimijat manipuloivat onnistuneesti latauslinkkejä levittääkseen tartunnan saaneita versioita laajalti käytetyistä laitteiston valvontatyökaluista.

Tietomurto tapahtui 9. huhtikuuta klo 15.00 UTC ja 10. huhtikuuta klo 10.00 UTC välisenä aikana, ja tänä aikana lailliset asennusohjelman linkit korvattiin ajoittain haitallisilla uudelleenohjauksilla. Tärkeää on, että CPUID vahvisti, että sen alkuperäiset allekirjoitetut binäärit pysyivät ehjinä, koska tietomurto johtui toissijaisesta ominaisuudesta, olennaisesti sivurajapinnasta, joka aiheutti verkkosivuston näyttämään satunnaisesti haitallisia linkkejä sen sijaan, että se olisi muuttanut itse ydinohjelmistoa.

Haitallinen infrastruktuuri: Hyökkäyksen takana olevat rosvoverkkotunnukset

Kyberturvallisuustutkijoiden tutkimukset tunnistivat useita verkkotunnuksia, joita käytettiin troijalaisten saastuttamien hyötykuormien isännöintiin ja toimittamiseen. Näillä haitallisilla verkkosivustoilla oli keskeinen rooli tietämättömien käyttäjien ohjaamisessa vaarantuneille latauksille:

• cahayailmukreatif.web[.]id
• pub-45c2577dbd174292a02137c18e7b1b5a.r2[.]dev
• transitopalermo[.]com
• Vatrobran[.]h

Nämä verkkotunnukset muodostivat osan laajempaa infrastruktuuria, joka oli suunniteltu tukemaan haittaohjelmien jakelua ja komento- ja valvontaoperaatioita.

Salakavala toimitusmekanismi: DLL-sivulatauksen väärinkäyttö

Hyökkääjät käyttivät tunnettua DLL-sivulatausta. Haitalliset paketit jaettiin sekä ZIP-arkistojen että erillisten asennustiedostojen muodossa, joista kumpikin sisälsi kaksi komponenttia: laillisen, allekirjoitetun suoritettavan tiedoston ja haitallisen dynaamisen linkkikirjaston nimeltä 'CRYPTBASE.dll'.

Hyödyntämällä allekirjoitettuihin binääreihin asetettua luottamusta haitallinen DLL ladattiin suorituksen aikana, mikä mahdollisti peitellyn tietomurron. Ennen lisätoimien aloittamista haittaohjelma suoritti hiekkalaatikkotarkistuksia välttääkseen havaitsemisen analyysiympäristöissä. Kun nämä tarkistukset olivat läpäisseet, se otti yhteyttä ulkoiseen palvelimeen noutaakseen lisää hyötykuormia.

STX RAT -käyttöönotto: Monipuolinen hyväksikäytön jälkeinen työkalu

Kampanjan perimmäisenä tavoitteena oli ottaa käyttöön STX RAT, tehokas etäkäyttötroijalainen, joka on varustettu piilotetulla virtuaaliverkon laskentakyvyllä (HVNC) ja laajoilla tietovarkaustoiminnoilla.

Tämä haittaohjelma mahdollistaa hyökkääjien ylläpitää pysyvää hallintaansa tartunnan saaneisiin järjestelmiin ja suorittaa monenlaisia hyökkäyksen jälkeisiä toimia, mukaan lukien:

• EXE-, DLL-, PowerShell-skriptien ja shell-koodin suorittaminen muistissa
• Käänteinen välityspalvelin ja verkon tunnelointi
• Etätyöpöytävuorovaikutus ja -valvonta

Tällaiset ominaisuudet tekevät STX RAT:sta erityisen vaarallisen sekä yksityis- että yritysympäristöissä.

Kampanjan päällekkäisyys: Linkkejä aiempiin FileZilla-hyökkäyksiin

Analyysi paljasti, että tässä tapauksessa käytetty komento- ja hallintajärjestelmä (C2) oli aiemmin yhdistetty erilliseen kampanjaan, johon osallistui troijalaisia FileZillan asennusohjelmia. Samojen palvelinkokoonpanojen ja tietoliikennedomeenien uudelleenkäyttö viittaa vahvasti toiminnalliseen päällekkäisyyteen näiden kahden kampanjan välillä.

Tämä taktiikoiden, tekniikoiden ja infrastruktuurin toisto tarjosi arvokkaita indikaattoreita havaitsemiseen ja attribuutioon.

Pitkäaikainen operaatio: 10 kuukauden kampanjan aikajana

Lisätutkimukset viittaavat siihen, että CPUID-tietomurto on osa laajempaa kampanjaa, joka alkoi heinäkuussa 2025. Varhaisin tunnettu haittaohjelmanäyte, joka tunnistettiin nimellä "superbad.exe", havaittiin kommunikoivan komento- ja ohjauspalvelimen kanssa osoitteessa 95.216.51.236.

Tietoturva-asiantuntijat arvioivat, että uhkatoimija on todennäköisesti venäjänkielinen ja saattaa olla taloudellisesti motivoitunut tai toimia alkuperäisen käyttöoikeuden välittäjänä, joka on erikoistunut jalansijan hankkimiseen järjestelmissä ja tämän käyttöoikeuden myymiseen muille kyberrikollisille.

Vaikutustenarviointi: Maailmanlaajuinen ulottuvuus ja monimuotoiset uhrit

Hyökkäys on vaikuttanut yli 150 vahvistettuun uhriin, pääasiassa yksityiskäyttäjiin. Myös useiden eri toimialojen organisaatiot, kuten vähittäiskauppa, valmistus, konsultointi, televiestintä ja maatalous, ovat kärsineet tietomurroista.

Maantieteellisesti suurin osa tartunnoista on tunnistettu Brasiliassa, Venäjällä ja Kiinassa, mikä viittaa laajaan ja opportunistiseen kohdentamisstrategiaan.

Toiminnalliset heikkoudet: Havaitsemiseen johtaneet virheet

Kampanjan laajuudesta huolimatta useat operatiiviset tietoturvaongelmat heikensivät merkittävästi hyökkääjien tehokkuutta. Identtisten tartuntaketjujen, STX RAT -hyötykuormien ja komento- ja hallinta-alueiden uudelleenkäyttö aiemmista kampanjoista helpotti toiminnan seurantaa ja korrelointia.

Nämä puutteet viittaavat haittaohjelmien kehitys- ja käyttöönottokäytäntöjen suhteellisen alhaiseen kehittyneisyyteen. Tämän seurauksena puolustajat pystyivät havaitsemaan uhkaavan hyökkäyksen nopeasti sen aloittamisen jälkeen, mikä rajoitti sen kokonaisvaikutusta ja altistumisaikaa.