Ssylka

Earth Alux: многоступенчатые киберинтрузии с VARGEIT и COBEACON

Группа Earth Alux, связанная с Китаем, осуществляет сложные киберинтрузии в различных секторах. Отчёт Trend Micro, подготовленный Lenart Bermejo, Ted Lee и Theo Chen и опубликованный в понедельник, документирует систематическое применение многоступенчатых атак для получения доступа к целевым системам.
Earth Alux: многоступенчатые киберинтрузии с VARGEIT и COBEACON
Изображение носит иллюстративный характер

Активность злоумышленников впервые зафиксирована во втором квартале 2023 года в Азиатско-Тихоокеанском регионе, а с середины 2024 года её динамика охватила Латинскую Америку. Среди конкретных целей – Таиланд, Филиппины, Малайзия, Тайвань и Бразилия, при этом атаки нацелены на государственные учреждения, технологические компании, логистику, производство, телекоммуникационные и IT-сервисы, а также розничный сектор.

Цепочка заражения начинается с эксплуатации уязвимых интернет-экспонированных веб-приложений, после чего внедряется Godzilla web shell, позволяющая установить последующие полезные нагрузки и обеспечить скрытный доступ.

На различных этапах атаки применяется вредоносное ПО VARGEIT, которое функционирует как бэкдор, обеспечивая сбор данных, разведку и эксфильтрацию. Инструмент загружает дополнительные средства непосредственно с серверов управления через создание нового процесса с именем «mspaint.exe» для продолжения атакующих операций.

Для расширения возможностей VARGEIT внедряются компоненты RAILLOAD и RAILSETTER. RAILLOAD использует метод DLL side-loading для запуска зашифрованной полезной нагрузки, тогда как RAILSETTER отвечает за сохранение устойчивости атаки, изменяя отметки времени артефактов и создавая запланированное задание для их активации.

На начальной стадии атаки применяется вредоносное ПО COBEACON, также известное как Cobalt Strike Beacon. Оно разворачивается с помощью загрузчика MASQLOADER или посредством RSBINJECT – командной оболочки на основе Rust, что позволяет злоумышленникам обеспечить первичный уровень доступа.

MASQLOADER демонстрирует самостоятельную структуру кода, отличную от RAILSETTER и RAILLOAD, что указывает на наличие различных направлений разработки. Последующие версии MASQLOADER используют технику перезаписи хуков в NTDLL.dll, установленных программами безопасности, что помогает обходить защитные механизмы.

VARGEIT поддерживает до десяти различных каналов для связи с серверами управления, включая протоколы HTTP, TCP, UDP, ICMP, DNS и даже Microsoft Outlook посредством Graph API через черновики почтового ящика злоумышленника. Сообщения от серверов начинаются с префикса «r_», тогда как ответы бэкдоров маркируются как «p_». Помимо этого, инструменты тестируются с использованием ZeroEye и VirTest, популярных в китайскоязычном сообществе, что подтверждает их скрытность и эффективность в обеспечении долгосрочного контроля над целевыми средами.


Новое на сайте

15389Подземное таяние под фундаментом северной Америки 15388NASA показала астероид Doughaldjohanson с формой булавы 15387Запрет восьми искусственных красителей в продуктах США: план Роберта Кеннеди-младшего 15386Как зловредный Docker-модуль использует Teneo Web3 для добычи криптовалюты через... 15385Влияние плана 529 на размер финансовой помощи в вузах 15384Первое свидетельство социального потребления алкоголя среди шимпанзе 15383Возвращение беверли Найт на родную сцену Веллингтона 15382«Череп» Марса: неожиданная находка ровера Perseverance в кратере Джезеро 15381Внутренние угрозы безопасности: браузеры как слабое звено в корпоративной защите 15380Тайна столкновения в скоплении персея раскрыта 15379Уязвимость ConfusedComposer в GCP Cloud Composer открывает путь к эскалации привилегий 15378Как когнитивные тесты помогают воспитать послушного щенка 15377Почему астероид Дональджонсон удивляет геологов всей сложностью? 15376Почему забыть отравление едой невозможно? 15375Стальная гнездовая коробка на мосту: надежная защита для орланов и автомобилистов