SlowStepper 後門惡意軟體

2023 年，在對韓國 VPN 提供者發動複雜的供應鏈攻擊後，先前未記錄的與中國結盟的高級持續威脅 (APT) 組織 PlushDaemon 出現在網路安全雷達上。這次攻擊涉及用受損版本替換合法安裝程序，並部署其簽名植入程序 SlowStepper。

SlowStepper：PlushDaemon 軍械庫中的多功能後門

PlushDaemon 操作的核心是 SlowStepper，這是一個功能豐富的後門，擁有超過 30 個組件的工具包。這個後門是用 C++、Python 和 Go 編寫的，是該組織進行間諜和入侵的主要工具。 SlowStepper 至少從 2019 年就開始開發，透過多次迭代不斷發展，最新版本於 2024 年 6 月編譯。

被劫持的頻道：初始訪問的關鍵

PlushDaemon的攻擊策略經常利用Web伺服器中的漏洞並劫持合法的軟體更新通道。該組織透過將不安全程式碼嵌入到透過「ipany.kr」網站分發的 VPN 軟體的 NSIS 安裝程式中來獲得初步存取權。受感染的安裝程式同時提供了合法軟體和 SlowStepper 後門。

目標範圍和受害者學

該攻擊可能會影響任何下載誘殺安裝程式的實體。有證據顯示，有人試圖在與韓國半導體公司和身份不明的軟體開發商相關的網路中安裝受感染的軟體。 2023 年底，日本和中國發現了首批受害者，反映出該組織的影響範圍廣泛。

複雜的攻擊鏈：SlowStepper 的部署

攻擊從執行安裝程式（“IPanyVPNsetup.exe”）開始，它會設定持久性並啟動載入程式（“AutoMsg.dll”）。此載入程式啟動 shellcode 執行，使用「PerfWatson.exe」等合法工具擷取和旁載入不安全的 DLL 檔案。最後階段涉及從無害的命名檔案（「winlogin.gif」）部署 SlowStepper。

縮小版：SlowStepper Lite

研究人員發現了活動中使用的 SlowStepper 的「Lite」變體，其中包含的功能比完整版本少。儘管如此，它仍然保留了重要的功能，可以透過中國程式碼儲存庫 GitCode 上託管的工具實現全面的監視和資料收集。

命令與控制：多階段方法

SlowStepper 採用強大的多層命令與控制 (C&C) 協定。它首先向 DNS 伺服器查詢 TXT 記錄，以取得用於通訊的 IP 位址。如果失敗，它將恢復到輔助方法，使用 API 來解析後備域。

大規模間諜活動：SlowStepper 的模組化功能

SlowStepper 後門配備了多種用於收集資訊的工具，使其能夠從以下位置收集資料：

• 受歡迎的 Web 瀏覽器 - Google Chrome、Microsoft Edge、Opera、Brave、Vivaldi、Cốc Cốc 瀏覽器、UC 瀏覽器、360 瀏覽器和 Mozilla Firefox
• 捕捉影像並記錄螢幕。
• 收集敏感文件和應用程式資料 - txt、.doc、.docx、.xls、.xlsx、.ppt 和 .pptx，以及來自 LetsVPN、騰訊 QQ、微信、金山 WPS、e2eSoft VCam、酷狗等應用程式的信息歐瑞向日葵、ToDesk。
• 抓取釘釘平台的聊天訊息。
• 檢索無害的 Python 套件。
• FileScanner 和 FileScannerAllDisk 分析系統以定位檔案。
• getOperaCookie 從 Opera 瀏覽器中擷取 cookie。
• 位置標識計算機的 IP 位址和 GPS 座標。
• qpass從騰訊QQ瀏覽器收集信息，可用qqpass模組代替。
• qqpass和Webpass，收集各種瀏覽器的密碼，包括Google Chrome、Mozilla Firefox、騰訊QQ瀏覽器、360 Chrome和UC瀏覽器。
• ScreenRecord 擷取螢幕錄影。
• Telegram 從 Telegram 提取資訊。
• 微信從微信平台檢索資料。
• WirelessKey 收集無線網路詳細資訊和相關密碼。

獨特的功能包括啟動自訂 shell 來執行遠端有效負載和用於特定任務的 Python 模組。

關注間諜活動和資料竊取

此後門的模組化設計可以實現有針對性的資料收集，例如來自釘釘和微信的聊天訊息、瀏覽器密碼和系統位置資料。其他工具支援反向代理功能和檔案下載，從而增強其間諜能力。

日益嚴重的威脅：PlushDaemon 的演變

PlushDaemon 廣泛的工具集及其對持續開發的承諾使其成為一個強大的實體。該組織自 2019 年以來的營運凸顯了其對創建複雜工具的明確關注，將其定位為網路安全領域的重大威脅。

結論：對新出現的威脅保持警惕

PlushDaemon 的供應鏈攻擊和先進功能凸顯了網路安全社群保持警覺的重要性。透過瞄準受信任的軟體分發管道，該組織已經證明了其滲透網路和執行複雜間諜活動的能力。