LuaDream skadelig programvare
En fremvoksende trusselaktør, tidligere ukjent og kalt 'Sandman', har blitt identifisert som gjerningsmannen bak en rekke nettangrep som spesifikt har rettet seg mot telekommunikasjonsleverandører i regioner som spenner over Midtøsten, Vest-Europa og det sørasiatiske subkontinentet. Disse cyberinntrengingene er avhengige av bruken av en just-in-time (JIT) kompilator designet for programmeringsspråket Lua, kjent som LuaJIT. Denne kompilatoren fungerer som kjøretøyet for å distribuere nyoppdaget truende programvare, referert til som "LuaDream".
Forskere har lagt merke til at disse observerte aktivitetene er preget av strategisk sideveis bevegelse mot spesielle, nøye utvalgte arbeidsstasjoner, med minimal interaksjon. Denne oppførselen antyder en kalkulert tilnærming designet for å oppnå spesifikke mål og samtidig minimere risikoen for oppdagelse. Tilstedeværelsen av LuaDream understreker ytterligere det sofistikerte ved denne operasjonen, og indikerer at det er et godt utført, aktivt vedlikeholdt og kontinuerlig utviklet prosjekt av betydelig skala.
Nettkriminelle bak LuaDream har brukt en sjelden tilnærming
Tilstedeværelsen av strengartefakter i kildekoden til implantatet peker på en betydelig tidslinje, med referanser tilbake til 3. juni 2022, noe som tyder på at det forberedende arbeidet for denne operasjonen har pågått i over et år.
LuaDream-staging-prosessen er omhyggelig utformet for å unngå oppdagelse og hindre analyse, noe som muliggjør sømløs distribusjon av skadelig programvare direkte i datamaskinens minne. Denne iscenesettelsesteknikken er sterkt avhengig av LuaJIT-plattformen, som er en just-in-time kompilator designet for Lua-skriptspråket. Hovedmålet er å gjøre det utfordrende å oppdage den ødelagte Lua-skriptkoden. Det er mistanke om at LuaDream kan tilhøre en ny stamme av skadelig programvare kjent som DreamLand.
Bruk av Lua-basert skadevare er en relativ sjeldenhet i trussellandskapet, med bare tre dokumenterte tilfeller observert siden 2012.
LuaDream er utstyrt med potensielle cyberspionasjefunksjoner
Angriperne har blitt observert delta i en rekke aktiviteter, inkludert tyveri av administrativ legitimasjon og gjennomføring av rekognosering for å infiltrere spesifikke arbeidsstasjoner av interesse. Deres endelige mål er å distribuere LuaDream.
LuaDream er en modulær, multi-protokoll bakdør som består av 13 kjernekomponenter og 21 støttekomponenter. Dens primære funksjon er å eksfiltrere både system- og brukerinformasjon, i tillegg til å administrere ulike angriperleverte plugins som forbedrer funksjonene, for eksempel kommandoutførelse. Videre inkorporerer LuaDream flere anti-feilsøkingsmekanismer for å unngå deteksjon og motstå analyse.
For å etablere en Command-and-Control (C2) kommunikasjon, når LuaDream ut til et domene kalt "mode.encagil.com" ved hjelp av WebSocket-protokollen. Den har imidlertid også muligheten til å akseptere innkommende tilkoblinger gjennom TCP-, HTTPS- og QUIC-protokoller.
Kjernemodulene omfatter alle de nevnte funksjonene. Samtidig spiller støttekomponentene en avgjørende rolle i å utvide bakdørens muligheter, slik at den kan lytte etter tilkoblinger basert på Windows HTTP server API og utføre kommandoer etter behov.
LuaDream fungerer som et bemerkelsesverdig eksempel på det pågående engasjementet og oppfinnsomheten som vises av trusselaktører på nettspionasje mens de kontinuerlig forbedrer og foredler sitt arsenal av truende verktøy og teknikker. Dette fremhever den dynamiske og utviklende naturen til cybertrusler i det moderne landskapet, der angripere konsekvent streber etter å ligge i forkant av sikkerhetstiltak og opprettholde effektiviteten i å infiltrere og kompromittere målsystemer.
