Trójsky kôň StreamSpy
Ochrana osobných a pracovných zariadení pred moderným malvérom je dôležitejšia ako kedykoľvek predtým, pretože dnešné hrozby sú navrhnuté nielen na krádež informácií, ale aj na nenápadné rozšírenie dosahu útočníka hlboko do napadnutého systému. Jedným z najnovších príkladov je StreamSpy, viacstupňový trójsky kôň spojený so skupinou Patchwork (APT-Q-36). Jeho modulárny dizajn, nenápadné komunikačné metódy a široká škála funkcií z neho robia vážny bezpečnostný problém.
Obsah
Zákerné zadné vrátka s pokročilými komunikačnými kanálmi
StreamSpy vyniká tým, že na komunikáciu so svojím príkazovým serverom používa WebSocket aj HTTP. Kanály WebSocket prenášajú inštrukcie a odosielajú výsledky späť útočníkovi takmer v reálnom čase, zatiaľ čo HTTP spracováva väčšie dátové prenosy, ako sú napríklad nahrané alebo stiahnuté súbory. Toto správanie je podobné správaniu, ktoré sa pozoruje v sťahovacom programe Spyder, čo naznačuje spoločné vývojové techniky alebo vývoj existujúcich nástrojov.
Pred vykonaním akýchkoľvek škodlivých akcií trójsky kôň odomkne sadu vložených konfiguračných hodnôt. Tieto nastavenia riadia jeho komunikačné správanie, poskytujú parametre identity a definujú metódy perzistencie, ktoré použije na prežitie reštartov systému.
Profilovanie systému a identifikácia obetí
Po aktivácii StreamSpy vykoná hĺbkovú kontrolu infikovaného systému. Zhromažďuje metadáta hostiteľa, ako je názov zariadenia, aktuálny používateľ, verzia operačného systému, nainštalované antivírusové nástroje, identifikátory hardvéru a ďalšie podrobnosti o prostredí. Z týchto informácií vytvorí jedinečné ID obete a odošle ho na server útočníka, čo umožňuje operátorom sledovať jednotlivé infekcie v rámci ich kampane.
Aby sa zabezpečilo automatické spustenie, trójsky kôň nastavuje mechanizmy perzistencie pomocou naplánovaných úloh, kľúčov spustenia v registri alebo skratiek pri spustení.
Široká škála diaľkových príkazov
StreamSpy podporuje rozsiahlu sadu príkazov, ktorá útočníkom umožňuje interagovať s infikovaným prostredím flexibilným a vysoko invazívnym spôsobom. Medzi jeho najškodlivejšie funkcie patria:
- Možnosti vykonávania a nasadenia
- Spúšťanie ľubovoľných príkazov pomocou cmd.exe alebo PowerShellu, čím sa udelí plná kontrola nad systémovými funkciami
- Sťahovanie a spúšťanie ďalších dát vrátane šifrovaných ZIP archívov, ktoré dešifruje a nasadzuje lokálne
- Operácie so súbormi a enumerácia zariadení
- Nahrávanie alebo exfiltrácia súborov do alebo z napadnutého počítača
- Premenovanie alebo odstránenie súborov na skrytie aktivity alebo prípravu následných fáz
- Kontrola všetkých pripojených úložných zariadení vrátane kapacity, súborového systému a atribútov vymeniteľných diskov
Vďaka týmto vlastnostiam je StreamSpy účinným nástrojom na špionáž, laterálny pohyb, krádež údajov a dlhodobý prístup.
Doručenie prostredníctvom klamlivého ZIP archívu
Vyšetrovatelia potvrdili, že StreamSpy sa šíri prostredníctvom škodlivých ZIP archívov. Jeden známy prípad sa týkal súboru s názvom „OPS-VII-SIR.zip“ umiestneného na externom serveri. Archív obsahoval:
- Spustiteľný súbor StreamSpy maskovaný ikonou v štýle PDF
- Pridané legitímne lákavé dokumenty PDF, aby archív vyzeral neškodne
Táto technika sa spolieha na sociálne inžinierstvo. Používateľ otvorí archív, uvidí dokumenty, ktoré vyzerajú legitímne, a nevedomky spustí maskovaný malvér. Počiatočný lákavý súbor môže byť doručený prostredníctvom mnohých kanálov vrátane podvodných webových stránok, falošných e-mailov, škodlivých reklám, priamych správ alebo príspevkov na sociálnych sieťach.
Vážna hrozba, ktorá si vyžaduje okamžité odstránenie
Vďaka svojim širokým možnostiam poskytuje StreamSpy útočníkom možnosť odčerpávať citlivé údaje, nasadzovať ďalší malvér, zasahovať do súborov a potenciálne zneužívať účty alebo identity. Jeho prítomnosť na zariadení vystavuje obete značným rizikám vrátane finančných strát a ďalšieho ohrozenia bezpečnosti. Ak sa zistí, mal by byť okamžite odstránený pomocou renomovaných bezpečnostných nástrojov a dôkladných postupov čistenia systému.
Je nevyhnutné byť ostražití voči podozrivým súborom, neočakávaným ZIP archívom a nevyžiadanej komunikácii. Keďže hrozby ako StreamSpy sú čoraz presvedčivejšie, silná pozornosť používateľov zostáva jednou z najúčinnejších obranných opatrení.
