LuaDream Malware
En framväxande hotaktör, tidigare okänd och som heter "Sandman", har identifierats som förövaren bakom en serie cyberattacker som specifikt har riktat sig mot telekommunikationsleverantörer i regioner som spänner över Mellanöstern, Västeuropa och den sydasiatiska subkontinenten. Dessa cyberintrång är beroende av användningen av en just-in-time (JIT) kompilator designad för programmeringsspråket Lua, känt som LuaJIT. Den här kompilatorn fungerar som ett verktyg för att distribuera nyupptäckt hotfull programvara, kallad "LuaDream".
Forskare har noterat att dessa observerade aktiviteter präglas av strategisk lateral rörelse mot särskilda, noggrant utvalda arbetsstationer, med minimal interaktion. Detta beteende antyder ett beräknat tillvägagångssätt utformat för att uppnå specifika mål samtidigt som risken för upptäckt minimeras. Närvaron av LuaDream understryker ytterligare det sofistikerade i denna operation, vilket indikerar att det är ett väl genomfört, aktivt underhållet och kontinuerligt utvecklat projekt av stor skala.
Cyberbrottslingarna bakom LuaDream har använt ett sällsynt tillvägagångssätt
Förekomsten av strängartefakter i källkoden för implantatet pekar på en betydande tidslinje, med referenser från den 3 juni 2022, vilket tyder på att det förberedande arbetet för denna operation har pågått i över ett år.
LuaDream iscensättningsprocessen har utformats noggrant för att undvika upptäckt och hindra analys, vilket möjliggör en sömlös distribution av skadlig programvara direkt i datorns minne. Denna iscensättningsteknik är starkt beroende av LuaJIT-plattformen, som är en just-in-time kompilator designad för skriptspråket Lua. Det primära målet är att göra det utmanande att upptäcka den skadade Lua-skriptkoden. Det finns misstankar om att LuaDream kan tillhöra en ny skadlig stam som kallas DreamLand.
Användningen av Lua-baserad skadlig programvara är en relativ sällsynthet i hotbilden, med endast tre dokumenterade fall observerade sedan 2012.
LuaDream är utrustad med potenta cyberspionagefunktioner
Angriparna har observerats delta i en rad aktiviteter, inklusive stöld av administrativa referenser och genomför spaning för att infiltrera specifika arbetsstationer av intresse. Deras slutmål är att distribuera LuaDream.
LuaDream är en modulär bakdörr med flera protokoll som består av 13 kärnkomponenter och 21 stödkomponenter. Dess primära funktion är att exfiltrera både system- och användarinformation, förutom att hantera olika plugins som tillhandahålls av angripare som förbättrar dess kapacitet, såsom kommandoexekvering. Dessutom innehåller LuaDream flera anti-felsökningsmekanismer för att undvika upptäckt och motstå analys.
För att upprätta en Command-and-Control-kommunikation (C2) når LuaDream ut till en domän som heter "mode.encagil.com" med hjälp av WebSocket-protokollet. Den har dock också förmågan att acceptera inkommande anslutningar via TCP-, HTTPS- och QUIC-protokoll.
Kärnmodulerna omfattar alla de ovan nämnda funktionerna. Samtidigt spelar supportkomponenterna en avgörande roll för att utöka bakdörrens möjligheter, så att den kan lyssna efter anslutningar baserade på Windows HTTP-server API och utföra kommandon efter behov.
LuaDream fungerar som ett anmärkningsvärt exempel på det pågående engagemang och uppfinningsrikedom som visas av aktörer inom cyberspionagehot när de ständigt förbättrar och förfinar sin arsenal av hotfulla verktyg och tekniker. Detta belyser den dynamiska och utvecklande karaktären hos cyberhot i det moderna landskapet, där angripare konsekvent strävar efter att ligga steget före säkerhetsåtgärderna och behålla sin effektivitet när det gäller att infiltrera och kompromissa med målsystem.
