Pembungkus Pelmeni
Penganalisis keselamatan siber telah menemui kempen Turla baharu yang mempamerkan strategi inovatif dan penyesuaian peribadi Trojan Kazuar, yang diedarkan melalui pembungkus yang tidak dikenali bernama Pelmeni.
Turla , kumpulan pengintipan siber APT (Advanced Persistent Threat) yang dikaitkan dengan FSB Rusia, terkenal dengan penyasaran yang teliti dan kepantasan operasi yang tidak berbelah bahagi. Sejak 2004, Turla telah menumpukan perhatian pada badan kerajaan, pertubuhan penyelidikan, misi diplomatik dan sektor seperti tenaga, telekomunikasi dan farmaseutikal pada skala global.
Kempen yang diteliti menggariskan kegemaran Turla untuk serangan yang tepat. Penyusupan awal berkemungkinan berlaku melalui jangkitan terdahulu, digantikan dengan penggunaan DLL mengancam yang disamarkan dalam perpustakaan yang kelihatan asli daripada perkhidmatan atau produk yang sah. Pembungkus Pelmeni memulakan pemuatan muatan berbahaya berikutnya.
Pembungkus Pelmeni Melaksanakan Beberapa Fungsi Mengancam
Pembungkus Pelmeni mempamerkan fungsi seterusnya:
- Pengelogan Operasi : Menghasilkan fail log tersembunyi dengan nama rawak dan sambungan untuk memantau aktiviti kempen secara diam-diam.
- Penghantaran Muatan : Menggunakan mekanisme penyahsulitan yang dipesan lebih dahulu menggunakan penjana nombor pseudo-rawak untuk memudahkan pemuatan dan pelaksanaan fungsi.
- Pengalihan Aliran Pelaksanaan : Memanipulasi urutan proses dan memperkenalkan suntikan kod untuk mengubah hala pelaksanaan kepada pemasangan .NET yang dinyahsulit yang menempatkan perisian hasad utama.
Peringkat akhir rantaian serangan Turla yang rumit terungkap dengan pengaktifan Kazuar, kuda Trojan serba boleh yang telah menjadi ruji dalam senjata Turla sejak digali pada 2017. Penyelidik telah memerhatikan kemajuan yang halus namun berbangkit dalam penggunaan Kazuar, menonjolkan protokol baru untuk data exfiltration dan percanggahan dalam direktori pengelogan - sisihan yang mencukupi untuk membezakan varian yang lebih baharu daripada pendahulunya.
