В ходе расследования инцидента с SolarWinds обнаружено новое вредоносное ПО

20 января 2021 года

ИБ-специалисты из Symantec (подразделения Broadcom) обнаружили новую вредоносную программу, которая использовалась финансируемыми иностранным правительством хакерами в ходе атак на разработчика ПО SolarWinds.

Инструмент, получивший название Raindrop, представляет собой загрузчик маяков Cobalt Strike. Raindrop имеет большое сходство с уже известным инструментом Teardrop, но между ними есть некоторые ключевые различия. Хотя Teardrop был доставлен с помощью бэкдора Sunburst, Raindrop, похоже, использовался для распространения по сети жертвы. На сегодняшний день Symantec не обнаружила свидетельств того, что Raindrop доставляется напрямую через Sunburst.

Бэкдор Sunburst был установлен на двух компьютерных системах одной из жертв в результате атаки на цепочку поставок SolarWinds. На следующий день на одном из этих компьютеров был установлен Teardrop. На этом компьютере был обнаружен инструмент для осуществления запросов в активный каталог, а также дампер учетных данных, разработанный специально для баз данных SolarWinds Orion.

Одиннадцать дней спустя на третьем компьютере жертвы в организации, где ранее не наблюдалось вредоносной активности, была установлена ​​копия Raindrop под названием bproxy.dll. На компьютере было запущено программное обеспечение для доступа к системе и управления ею. Злоумышленники могли использовать это программное обеспечение для доступа к любому из компьютеров скомпрометированной организации. Через час вредоносная программа Raindrop установила дополнительный файл под названием «7z.dll». Экспертам не удалось получить этот файл, однако через несколько часов легитимная версия 7zip была использована для извлечения копии того, что выглядело как внутренние компоненты служб каталогов (DSInternals), на компьютер. DSInternals — легитимный инструмент для запроса серверов Active Directory и получения данных, обычно паролей, ключей или хэшей паролей.

Позже злоумышленники установили на этот компьютер дополнительный инструмент под названием mc_store.exe, представляющий собой неизвестное приложение PyInstaller. Никакой дальнейшей активности на этом компьютере не наблюдалось.

Raindrop похож на Teardrop в том, что оба вредоносных ПО действуют в роли загрузчиков маяков Cobalt Strike. Raindrop скомпилирован как DLL, созданная из модифицированной версии исходного кода 7-Zip.

Хотя оба семейства вредоносных программ предназначены для развертывания маяков Cobalt Strike, существуют различия в конфигурации Cobalt Strike. На сегодняшний день Symantec выявила четыре образца Raindrop. В трех случаях Cobalt Strike был настроен на использование HTTPS в качестве протокола связи. В четвертом он был настроен на использование SMB Named Pipe в качестве протокола связи.

Все три образца Raindrop, использующие связь HTTPS, следуют шаблонам конфигурации, сходным с одним из ранее обнаруженных образцов Teardrop.

Источники

Эта статья загружена автоматически ботом NewsBots и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.

Мнения

Пожалуйста, прочтите правила общения и оформления реплик на портале Викиновости

Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.

Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.

Несколько советов по оформлению реплик:

• Новые темы начинайте, пожалуйста, снизу.
• Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
• Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
• Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.

Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.

Добавить комментарий