A Sagerunex rosszindulatú programváltozatai: A fejlődő kiberfenyegetés közelebbi pillantása

A kiberbiztonsági kutatók új fejleményeket tártak fel a Lotus Panda néven ismert hackercsoport folyamatban lévő tevékenységében. Ez a fenyegetési szereplő, amelyről feltételezik, hogy kapcsolatban áll Kínával, több régióban, köztük a Fülöp-szigeteken, Vietnamban, Hongkongban és Tajvanon aktívan megtámadta a kormányzati, gyártási, távközlési és médiaszervezeteket. Működésük középpontjában a Sagerunex néven ismert, fejlődő rosszindulatú programcsomag áll, amelyet legalább 2016 óta a kiberkémkedés hátsó ajtójaként használnak.

Mi az a Sagerunex?

A Sagerunex egy kifinomult backdoor rosszindulatú program, amelyet arra terveztek, hogy behatoljon a célzott rendszerekbe, összegyűjtse a gazdagépre vonatkozó információkat, és adatokat szűrjön ki a támadók által irányított külső szerverre. A rosszindulatú program az évek során jelentős módosításokon ment keresztül, és a legújabb változatai továbbfejlesztett képességekkel rendelkeznek a tartósság fenntartása és az észlelés elkerülése érdekében. Ezek a módosítások tanúsítják a Lotus Panda folyamatos erőfeszítéseit eszközeinek finomítására és kiberkémműveleteinek javítására.

Az eredetileg egy régebbi, Evora nevű rosszindulatú programból származó Sagerunex belépési pontként szolgál a feltört hálózatokba. A bejutást követően egy titkos kommunikációs csatornát hoz létre, amely lehetővé teszi a támadók számára, hogy távolról parancsokat adjanak ki. A kártevő legújabb verziói olyan széles körben használt online szolgáltatásokat használják ki, mint a Dropbox , az X (korábban Twitter) és a Zimbra, és parancs- és vezérlő (C2) alagútként használják őket. Ezen legitim platformok kihasználásával a támadók megkerülhetik a hagyományos biztonsági intézkedéseket, és hosszú távú hozzáférést biztosíthatnak a feltört rendszerekhez.

Mit keresnek a támadók?

A Lotus Panda kampányainak elsődleges célja a kiberkémkedés a megcélzott szervezetektől származó érzékeny információk összegyűjtése révén. A rosszindulatú program lehetővé teszi a támadók számára, hogy:

• Rendszerinformációk begyűjtése : A Sagerunex adatokat gyűjt a gazdagépről, beleértve a felhasználói hitelesítő adatokat, a futó folyamatokat és a hálózati konfigurációkat.
• Távoli parancsok végrehajtása : A hátsó ajtó lehetővé teszi a fenyegetés szereplői számára, hogy parancsokat futtassanak a feltört eszközökön, így nagyfokú irányítást biztosítanak számukra a fertőzött gépek felett.
• Adatlopás : A lopott információkat gyakran tömörítik és titkosítják, mielőtt távoli szerverekre küldenék őket, így az észlelés és elemzés nagyobb kihívást jelent a kiberbiztonsági csapatok számára.
• A lopakodó és a kitartás fenntartása : A legális webszolgáltatásokba beágyazva a rosszindulatú program biztosítja, hogy ki tudja kerülni a biztonsági eszközöket, és hosszabb ideig folytatni tudja működését a feltört hálózatokon.

A Sagerunex Zimbra webmail változatának egyik figyelemreméltó tulajdonsága, hogy képes parancsutasításokat fogadni e-mail tartalmakon keresztül. A támadók parancsokat ágyaznak be a Zimbra leveleibe, és a rosszindulatú programok jogos utasításokat keresnek. Ha érvényes parancsokat észlel, akkor azok végrehajtásra kerülnek; ellenkező esetben a gyanú elkerülése végett az üzenet tartalma törlésre kerül. Ez az innovatív megközelítés rávilágít a Lotus Panda kiberműveleteinek egyre kifinomultabbra.

Hogyan működik a Sagerunex?

Bár a kezdeti fertőzés pontos módja továbbra is tisztázatlan, a Lotus Panda már korábban is alkalmazott lándzsás adathalász kampányokat és vízhiányos támadásokat. Ezek a technikák magukban foglalják:

• Spear-phishing : Gondosan elkészített e-mailek küldése, amelyek ráveszik a címzetteket, hogy rosszindulatú hivatkozásokra kattintsanak vagy fertőzött mellékleteket nyissanak meg.
• Támadások : A megcélzott szervezetek által gyakran felkeresett, megbízható webhelyek veszélyeztetése, lehetővé téve a rosszindulatú programok legitim megjelenésű letöltéseken keresztül történő eljuttatását.

Miután bekerült egy rendszerbe, a Sagerunex felderítési tevékenységet folytat, és intelligenciát gyűjt a hálózati környezetről. Az olyan parancsok végrehajtása, mint a net, tasklist, ipconfig és netstat a rendszerarchitektúra, a futó folyamatok és a hálózati kapcsolatok azonosítására. Ha az internet-hozzáférés korlátozott, a rosszindulatú program alkalmazkodhat a cél proxybeállításainak felhasználásával vagy a Venom proxy eszközzel külső kapcsolat létrehozásához.

A Sagerunex-szel együtt alkalmazott további eszközök a következők:

• A Cookie Stealer : Kivonja a tárolt Chrome böngésző hitelesítő adatait, és potenciálisan hozzáférést biztosít további fiókokhoz és szolgáltatásokhoz.
• Jogosultság-kiterjesztési programok : Beállítja a felhasználói engedélyeket, hogy magasabb szintű hozzáférést biztosítson a támadóknak.
• Adattömörítő és -titkosítási eszközök : Az ellopott adatokat biztonságosan csomagolja kiszűrés céljából, ami megnehezíti a kiberbiztonsági szakemberek számára a jogosulatlan átvitelek észlelését.

Kiberbiztonsági következmények

A Sagerunex folyamatos fejlődése jelentős kihívás elé állítja a kiberbiztonsági csapatokat, különösen a kormányzati és a kritikus infrastruktúra szektorokon belül. A legális szolgáltatások kommunikációra és adatszivárgásra való használata megnehezíti az észlelési erőfeszítéseket, mivel a hagyományos biztonsági intézkedések figyelmen kívül hagyhatják az olyan jóindulatúnak tűnő tevékenységeket, amelyek olyan platformokat érintenek, mint a Dropbox és a Zimbra.

A szervezeteknek proaktív megközelítést kell alkalmazniuk az ilyen típusú fenyegetések elleni védekezésben. A javasolt stratégiák a következők:

• Az e-mailek biztonságának erősítése : A fejlett e-mail-szűrés bevezetése és az alkalmazottak képzése az adathalász kísérletek felismerésére csökkentheti a kezdeti fertőzés kockázatát.
• Hálózati forgalom figyelése : A kimenő kommunikáció szokatlan tevékenységre vonatkozó elemzése segíthet a rejtett C2 csatornák azonosításában.
• A végpontvédelem javítása : A viselkedéselemző eszközök telepítése észlelheti a rosszindulatú programokra utaló gyanús folyamatokat.
• Nulla megbízhatósági elvek alkalmazása : Az ellenőrzött személyazonosságokon alapuló hozzáférés korlátozása és a szegmentációs stratégiák megvalósítása visszafoghatja a támadó azon képességét, hogy oldalirányban mozogjon a hálózaton belül.

Végső gondolatok

Az új Sagerunex-változatok megjelenése alátámasztja az olyan kiberfenyegetés szereplőinek alkalmazkodóképességét és kitartását, mint a Lotus Panda. Ahogy a taktikájuk folyamatosan fejlődik, úgy kell fejlődnie a megcélzott szervezetek védelmének is. A rosszindulatú program képességeinek és céljainak megértésével a vállalkozások és a kormányzati szervek megtehetik a szükséges lépéseket, hogy megerősítsék kiberbiztonsági helyzetüket, és minimalizálják az egyre kifinomultabb fenyegetések által jelentett kockázatokat.