Zadné vrátka UDPGangster

Hrozivá kampaň pripisovaná skupine MuddyWater napojenej na Irán odhalila nasadenie novo identifikovaného zadného vrátka s názvom UDPGangster. Na rozdiel od konvenčného malvéru, ktorý sa spolieha na komunikáciu založenú na TCP, tento nástroj využíva ako kanál Command-and-Control protokol User Datagram Protocol, čo sťažuje detekciu jeho prevádzky tradičnými bezpečnostnými riešeniami. Po aktivácii zadné vrátko poskytuje plnú vzdialenú manipuláciu s napadnutými systémami, čo umožňuje vykonávanie príkazov, krádež súborov a doručovanie sekundárneho malvéru.

Regionálne cielenie a špionážne motívy

Výskumníci uvádzajú, že obete boli identifikované predovšetkým v Turecku, Izraeli a Azerbajdžane. Povaha operácie v kombinácii s jej geografickým zameraním naznačuje cielené špionážne úsilie zamerané na zhromažďovanie spravodajských informácií a získavanie odľahlých oporných bodov v citlivých prostrediach.

Phishingové návnady a škodlivé dokumenty

Útočníci sa pri infiltrácii sietí vo veľkej miere spoliehajú na spear-phishing. E-maily vydávajúce sa za Ministerstvo zahraničných vecí Severocyperskej tureckej republiky boli zaslané nič netušiacim príjemcom a falošne ich pozývajúce na online seminár s názvom „Prezidentské voľby a ich výsledky“.

K týmto e-mailom boli priložené dve identické verzie škodlivého dokumentu: ZIP archív s názvom seminer.zip a súbor programu Word s názvom seminer.doc. Po otvorení dokument vyzve používateľa na povolenie makier, ktoré umožnia tiché spustenie vloženého obsahu. Na maskovanie škodlivej aktivity makro zobrazí návnadový obrázok v hebrejčine od izraelského telekomunikačného poskytovateľa Bezeq, ktorý údajne opisuje plánované prerušenia služieb začiatkom novembra 2025.

Vykonanie makra a doručenie užitočného zaťaženia

Po aktivácii makier dropper využije udalosť Document_Open() na automatické dekódovanie údajov Base64 uložených v skrytom poli formulára. Výsledný obsah sa zapíše do:

C:\Používatelia\Verejné\ui.txt

Tento súbor sa potom spustí prostredníctvom rozhrania Windows API CreateProcessA, čím sa inicializujú zadné vrátka UDPGangster.

Stealth by Design: Perzistencia a antianalytické taktiky

UDPGangster zabezpečuje svoju prítomnosť na hostiteľovi prostredníctvom perzistencie v registri systému Windows. Obsahuje tiež širokú škálu antianalytických techník zameraných na prelomenie virtuálnych prostredí, sandboxov a forenznej kontroly. Patria sem:

• Kontroly prostredia a virtualizácie
• Testovanie aktívneho ladenia
• Kontrola charakteristík CPU a zistenie znakov virtuálnych počítačov

• Identifikácia systémov s menej ako 2 GB RAM

• Overovanie predpon MAC adries na detekciu dodávateľov virtuálnych počítačov

• Kontrola, či zariadenie patrí do predvolenej pracovnej skupiny systému Windows

• Skenovanie procesov ako VBoxService.exe, VBoxTray.exe, vmware.exe a vmtoolsd.exe

• Kontrola položiek registra pre identifikátory virtualizácie vrátane VBox, VMBox, QEMU, VIRTUAL, VIRTUALBOX, VMWARE a Xen

• Vyhľadávanie známych nástrojov na sandboxing alebo ladenie

• Určenie, či sa vykonávanie vykonáva v analytickom prostredí

Až po úspešnom absolvovaní týchto kontrol začne malvér získavať systémové dáta a komunikovať so svojím externým serverom na UDP porte 1269 na adrese 157.20.182[.]75. Prostredníctvom tohto kanála môže spúšťať príkazy shellu cez cmd.exe, prenášať súbory, aktualizovať podrobnosti konfigurácie a nasadzovať následné dáta.

Prevádzkové schopnosti a krádež údajov

Po overení malvér zhromažďuje systémové metadáta a odosiela ich na vzdialený server C2. Jeho komunikácia založená na UDP umožňuje útočníkom interagovať s infikovaným hostiteľom v reálnom čase a dávať mu pokyny na vykonávanie príkazov, aktualizáciu zadných vrátok alebo podľa potreby nainštalovať ďalšie škodlivé moduly. Táto štruktúra podporuje prieskumné aj dlhodobé špionážne operácie.

Zmierňovanie a zvyšovanie povedomia

Keďže reťazec infekcie závisí od phishingových dokumentov s makro aktiváciou, povedomie používateľov zostáva kritickým obranným opatrením. Podozrivé alebo nevyžiadané prílohy, najmä tie, ktoré nabádajú k aktivácii makier, by sa mali zaobchádzať s mimoriadnou opatrnosťou. Organizácie by mali presadzovať obmedzenia makier, nasadiť riešenia na monitorovanie správania a školiť používateľov v rozpoznávaní cielených phishingových taktík.

Odporúčané obranné opatrenia

• Obmedziť alebo zakázať makrá v celej organizácii.
• Nasaďte ochranu koncových bodov schopnú detekovať zablokované položky založené na makrách.
• Monitorujte nezvyčajnú odchádzajúcu UDP prevádzku.
• Označiť pokusy o komunikáciu s neznámymi alebo podozrivými portami.
• Vzdelávajte zamestnancov o cielených indikátoroch phishingu.

Kombináciou klamlivých návnad, nenápadného vykonávania makier a pokročilých metód úniku demonštruje kampaň UDPGangster od MuddyWater obnovený dôraz na tajný prístup a regionálne zhromažďovanie spravodajských informácií. Ostražitá ostražitosť voči útokom založeným na dokumentoch je nevyhnutná na zabránenie tomu, aby sa takéto hrozby uchytili.