Космические пираты атакуют, или как мы обнаружили новую APT-группировку с уникальными бэкдорами

Летом 2021 года мы, специалисты экспертного центра безопасности Positive Technologies, выявили ранее неизвестную APT-группировку, которая действует по меньшей мере с 2017 года. Главные цели Space Pirates (именно так мы решили назвать группу киберпреступников) — шпионаж и кража конфиденциальных данных. Как показало наше исследование, впервые мы встретили Space Pirates еще в конце 2019 года, когда в рамках мониторинга угроз ИБ обнаружили фишинговое письмо с ранее неизвестным вредоносным ПО, направленное в адрес одного российского авиационно-космического предприятия. Кто на прицеле у новой хакерской группировки, какие утилиты она использует в атаках и как ее активность связана с уже известными APT-группами, читайте под катом.

Полный отчет с детальным анализом вредоносного ПО и индикаторами компрометации доступен по ссылке. Особый интерес в арсенале Space Pirates представляют загрузчики и бэкдоры собственной разработки группы, которые ранее исследователям не встречались.

Предыстория

Три года назад мы выявили вредоносную активность, которую на тот момент не удалось однозначно связать с уже известными APT-группами. Фишинговое письмо, нацеленное на сотрудников одного из авиационно-космических предприятий России, содержало ссылку на ранее неизвестную вредоносную программу. Такое же ВПО и несколько новых вредоносных семейств мы обнаружили в 2020 году, когда расследовали инцидент в другой отечественной компании. Отправной точкой нашего исследования стало лето 2021 года: тогда мы выявили следы попытки компрометации еще одного предприятия из российской авиационно-космической отрасли с использованием этого же ВПО и сетевой инфраструктуры. Эти данные позволили нам сделать вывод, что за выявленной активностью стоят одни и те же злоумышленники, и мы продолжили изучать их деятельность.

Кто стоит за атаками

Неизвестная ранее хакерская группировка активна как минимум с 2017 года, ее ключевые мотивы — кибершпионаж и хищение конфиденциальной информации. Мы дали ей имя Space Pirates. Поводом послужила строка P1Rat, которую атакующие использовали в PDB-путях, и тот факт, что первая обнаруженная нами атака была направлена на авиационно-космический сектор.

По нашим данным, в России они уже атаковали по меньшей мере пять компаний, в Грузии — одну, а точное число целей в Монголии на данный момент неизвестно. Среди жертв, которых нам удалось идентифицировать, есть государственные учреждения и предприятия из авиационно-космической и электроэнергетической отраслей.

Две их атаки в нашей стране можно считать успешными. В первом случае злоумышленники получили доступ как минимум к 20 серверам в корпоративной сети, где присутствовали около 10 месяцев. За это время они похитили более 1500 внутренних документов, а также данные всех учетных записей сотрудников в одном из сетевых доменов. Во втором атакующим удалось закрепиться в сети компании более чем на год, получить сведения о входящих в сеть компьютерах и установить свое ВПО по крайней мере на 12 корпоративных узлов в трех различных регионах.

Как показало дальнейшее исследование, некоторые атаки с применением зловредов Space Pirates были также нацелены на китайские финансовые компании.

Инструментарий и сетевая инфраструктура Space Pirates

Злоумышленники используют уникальные загрузчики и ранее не упоминавшиеся в открытых источниках бэкдоры, которым мы дали названия MyKLoadClient, BH_A006 и Deed RAT. Как правило, APT-группировка разрабатывает новое вредоносное ПО, которое реализует нестандартные техники, либо серьезно модифицирует уже существующее. Например, в случае BH_A006, построенного на коде популярного бэкдора Gh0st, было добавлено много слоев обфускации, чтобы обходить средства защиты и усложнить процедуру анализа.

Кроме них, в арсенале группы есть и хорошо известное ВПО: бэкдоры PlugX, PoisonIvy, ShadowPad и Zupdax, модифицированный вариант PcShare и публичный шелл ReVBShell. Атакующие также применяют билдер Royal Road RTF (или 8.t) и бэкдор PcShare, распространенные в среде хакеров азиатского происхождения. Примечательно, что в ресурсах, SFX-архивах и путях к PDB-файлам активно используется китайский язык. Для туннелирования трафика злоумышленники используют утилиту dog-tunnel.

Основная сетевая инфраструктура группы задействует небольшое количество IP-адресов, на которые указывают DDNS-домены. При этом используются домены не только третьего уровня, но также четвертого и последующих, например w.asd3.as.amazon-corp.wikaba[.]com.

Связь с APT-группировками азиатского региона

Изучая деятельность Space Pirates, мы обнаружили большое число пересечений с ранее известной активностью, которую исследователи связывают с группами Winnti (APT41), Bronze Union (APT27), TA428, RedFoxtrot, Mustang Panda и Night Dragon. По нашему мнению, причина этого, вероятно, кроется в обмене инструментарием между хакерскими группами. Это частое явление для APT-групп азиатского региона.

Отдельно мы хотели бы отметить связь Space Pirates с TA428. В одном из расследований мы наблюдали на зараженных компьютерах активность обеих групп, однако она не имела пересечений в сетевой инфраструктуре. Вместе с тем во время операции с кодовым именем StealthyTrident, описанной коллегами из ESET, атакующие использовали Tmanger (приписываемый TA428) и Zupdax (связанный со Space Pirates). В сетевой инфраструктуре, смежной с упомянутой в отчете ESET, можно также проследить связь Zupdax с Albaniiutas (RemShell) и другими зловредами, используемыми TA428. Все это позволяет нам заключить, что две эти группировки могут объединять усилия и делиться инструментами, сетевыми ресурсами и доступом к зараженным системам.

На схеме ниже представлены связи Space Pirates с атакованными организациями, известными APT-группировками, семействами ВПО и фрагментами сетевой инфраструктуры.

Смотреть схему в хорошем качестве.

Анализ MyKLoadClient

Интересной находкой для нас стал бэкдор MyKLoadClient — с его помощью Space Pirates атаковала компании и в России, и в Китае. Группировка тщательно выбирала жертвы и распространяла вредонос посредством целевого фишинга.

Анализ обнаруженных нами экземпляров ВПО с MyKLoadClient позволил нам выделить две схемы его исполнения и проследить явную связь между целями атакующих и выбором той или иной схемы. Если исходить из дат модификации и компиляции файлов, которые, однако, могли быть специально подменены злоумышленниками, то первую схему применяли в атаках на российские компании в 2018-2019 годах. Она опирается на использование SFX-архивов в качестве дропперов, применяет технику DLL Side-Loading и использует вспомогательную библиотеку-лончер AntiVirusLoader.dll. Ниже рассмотрим один из экземпляров ВПО с этой схемой исполнения, который мы обнаружили.

Файл с именем Петербургский международный экономический форум (ПМЭФ)____2019.exe (d3a50abae9ab782b293d7e06c7cd518bbcec16df867f2bdcc106dec1e75dc80b) представляет собой SFX-архив, который извлекает документ-приманку 0417.doc и еще один SFX-архив с именем apple.exe. Файлы в архиве модифицированы в апреле 2019 года, а сам документ содержит текст с реальным описанием ПМЭФ.

Второй SFX-архив извлекает из себя три PE-файла: легитимный siteadv.exe, лончер siteadv.dll и библиотеку с полезной нагрузкой cc.tmp.

Отметим, что в исследованных экземплярах с первой схемой исполнения не всегда есть приманка. Однако во всех случаях применяется подобный SFX-архив, содержащий файлы с теми же именами и назначением.

Исполняемый EXE-файл подписан McAfee, Inc. и является компонентом установщика McAfee SiteAdvisor. При запуске он загружает библиотеку siteadv.dll, которая отвечает за установку и запуск полезной нагрузки. В ресурсах лончера есть конфигурация, зашифрованная RC4 с ключом TDILocker и содержащая необходимые пути, имена ключей реестра и флаги.

У лончера есть несколько команд, которые передаются через аргументы командной строки. Они отвечают за одну из стадий исполнения:

Помимо основной экспортируемой функции main, которая вызывается легитимным siteadv.exe, в siteadv.dll присутствует неиспользуемый экспорт buc_uninstallinterface, отвечающий за обход UAC с использованием компонента IARPUninstallStringLauncher.

Имя экспортируемой библиотеки лончера — AntiVirusLoader.dll. В некоторых ее экземплярах можно встретить PDB-путь:
D:\Leee\515远程文件\P1Rat_2017_07_28A\src\MyLoader_bypassKIS\snake\res\SiteAdv.pdb.

Полезная нагрузка cc.tmp — это бэкдор, реализованный в виде динамической библиотеки с внутренним именем client.dll. Она экспортирует функцию MyKLoad, которая является фактической точкой входа (функциональность бэкдора описана в полном отчете).

Вторую схему атакующие использовали в атаках 2020 года на китайские компании. Мы предполагаем, что злоумышленники обновили цепочку исполнения, чтобы уменьшить вероятность обнаружения вредоносной программы в более свежих атаках. Эта схема включает в себя только самописный дроппер, который передает управление полезной нагрузке напрямую, при этом закрепление в системе в коде не предусмотрено. С описанием этой схемы и особенностями бэкдора MyKLoadClient можно ознакомиться здесь.

Тестовый образец MyKLoadClient

Нам также удалось обнаружить тестовый вариант MyKLoadClient. Это приложение-дроппер, которое было создано не позднее 2018 года: b1d6ba4d995061a0011cb03cd821aaa79f0a45ba2647885171d473ca1a38c098.

Интересно, что его, вероятнее всего, разработали на основе проекта старой доброй игры «Змейка». В частности, на это указывают следующие детали:

• в начале своей работы приложение создает окно и использует в качестве его имени строку Snake;

• присутствует код, предположительно, отвечающий за логику игры — в частности за генерацию случайных координат очередного куска пищи на поле 50×50 и сравнение их с позицией змейки;

• приложение обрабатывает нажатия клавиши «Пробел» и клавиш управления курсором;

• в ресурсах приложения есть меню с пунктами на китайском языке: «Старт», «Пауза», «Перезагрузка» и «Выход».

Помимо этого, среди ресурсов дроппера есть окно «О программе» (на китайском языке). Его содержание говорит о том, что это вторая версия игры Snake, созданная в 2016 году. Там же указан электронный адрес вероятного автора — mexbochen@foxmail.com.

Простой поиск адреса в Google позволяет нам найти персональную страницу владельца электронной почты. Это программист из Китая, который специализируется на задачах по обработке изображений.

Несмотря на то, что между приложением и владельцем электронной почты есть связь, мы не можем однозначно утверждать, что именно он — автор MyKLoadClient. Возможно, в какой-то промежуток времени проект игры «Змейка» находился в открытом доступе, и злоумышленники решили использовать его как основу для реализации дроппера.

Извлекаемые дроппером файлы содержатся в его ресурсах в открытом виде. Кроме того, ресурсы содержат зашифрованную конфигурацию, где записаны имена файлов — точно такая же конфигурация используется и в лончере. В момент записи файлов на диск их содержимое шифруется XOR с ключом 0x80, а затем файлы открываются повторно и расшифровываются. Дроппер содержит тот же набор компонентов, что и SFX-архивы (первая схема исполнения ВПО): легитимный компонент McAfee SiteAdvisor, DLL-лончер и библиотеку с полезной нагрузкой под именем Client.obj.

После извлечения дроппер формирует командную строку для запуска лончера с командой install (закрепление в реестре и запуск полезной нагрузки), но в дальнейшем не использует ее. Вероятно, это ошибка: в коде присутствует отладочное сообщение «CreateProcess success!», но функция CreateProcess не вызывается.

Лончер тестового образца отличается наличием реализации команды mrun: это вариация команды run, отвечающей за запуск экспортируемой из DLL функции с полезной нагрузкой. В отличие от run, mrun предварительно расшифровывает библиотеку по алгоритму RC4 с ключом GoogleMailData, а для ее исполнения использует рефлективную загрузку.

Как мы уже отмечали, Space Pirates обладает внушительным арсеналом вредоносного ПО и инструментов. В таблице ниже мы представили краткую информацию о каждой утилите и дали ссылку на место в полном отчете, где о них можно узнать больше технических подробностей.

Больше отчетов PT Expert Security Center, посвященных актуальным киберугрозам, новым образцам ВПО, активности APT-группировок, техникам и инструментам хакеров читайте в нашем блоге.

---