Sagerunex Malware Varianten: Een nadere blik op de evoluerende cyberdreiging

Cybersecurity-onderzoekers hebben nieuwe ontwikkelingen ontdekt in de voortdurende activiteiten van de hackersgroep Lotus Panda. Deze dreigingsactor, waarvan wordt aangenomen dat hij banden heeft met China, richt zich actief op overheids-, productie-, telecommunicatie- en mediaorganisaties in verschillende regio's, waaronder de Filipijnen, Vietnam, Hongkong en Taiwan. Centraal in hun activiteiten staat een evoluerende malwaresuite die bekendstaat als Sagerunex, die sinds ten minste 2016 wordt gebruikt als achterdeur voor cyberespionage.

Wat is Sagerunex?

Sagerunex is een geavanceerde backdoor-malware die is ontworpen om gerichte systemen te infiltreren, hostinformatie te verzamelen en gegevens te exfiltreren naar een externe server die wordt beheerd door aanvallers. De malware heeft in de loop der jaren aanzienlijke wijzigingen ondergaan, waarbij de nieuwste varianten verbeterde mogelijkheden vertonen om persistentie te behouden en detectie te vermijden. Deze wijzigingen zijn een bewijs van de voortdurende inspanningen van Lotus Panda om zijn tools te verfijnen en zijn cyberespionage-operaties te verbeteren.

Oorspronkelijk afgeleid van een oudere malware genaamd Evora, dient Sagerunex als een toegangspunt tot gecompromitteerde netwerken. Eenmaal binnen, creëert het een verborgen communicatiekanaal waarmee aanvallers op afstand opdrachten kunnen geven. De nieuwste versies van de malware maken gebruik van veelgebruikte onlinediensten zoals Dropbox , X (voorheen Twitter) en Zimbra, en gebruiken deze als command-and-control (C2) tunnels. Door gebruik te maken van deze legitieme platforms, kunnen aanvallers conventionele beveiligingsmaatregelen omzeilen en op lange termijn toegang tot gecompromitteerde systemen behouden.

Wat willen de aanvallers?

Het primaire doel van de campagnes van Lotus Panda is om cyberespionage uit te voeren door gevoelige informatie van doelwitten te verzamelen. De malware stelt aanvallers in staat om:

• Informatie over het oogstsysteem : Sagerunex verzamelt gegevens over de hostmachine, waaronder gebruikersreferenties, actieve processen en netwerkconfiguraties.
• Opdrachten op afstand uitvoeren : via de backdoor kunnen kwaadwillenden opdrachten uitvoeren op gecompromitteerde apparaten, waardoor ze veel controle hebben over de geïnfecteerde machines.
• Gegevens stelen : Gestolen informatie wordt vaak gecomprimeerd en gecodeerd voordat deze naar externe servers wordt verzonden. Hierdoor wordt detectie en analyse voor cybersecurityteams lastiger.
• Blijf onzichtbaar en persistent : door zichzelf te integreren in legitieme webservices, zorgt de malware ervoor dat deze beveiligingstools kan omzeilen en gedurende langere tijd actief kan blijven binnen gecompromitteerde netwerken.

Een opvallend kenmerk van de Zimbra webmailvariant van Sagerunex is de mogelijkheid om commando-instructies te ontvangen via e-mailinhoud. Aanvallers sluiten commando's in Zimbra-mailberichten in en de malware scant op legitieme instructies. Als er geldige commando's worden gedetecteerd, worden ze uitgevoerd; anders wordt de berichtinhoud verwijderd om argwaan te voorkomen. Deze innovatieve aanpak benadrukt de toenemende verfijning van de cyberoperaties van Lotus Panda.

Hoe werkt Sagerunex?

Hoewel de exacte methode van de eerste infectie onduidelijk blijft, heeft Lotus Panda een geschiedenis van het inzetten van spear-phishingcampagnes en watering hole-aanvallen. Deze technieken omvatten:

• Spear-phishing : het verzenden van zorgvuldig opgestelde e-mails om ontvangers ertoe te verleiden op schadelijke links te klikken of geïnfecteerde bijlagen te openen.
• Watering Hole-aanvallen : het in gevaar brengen van vertrouwde websites die vaak worden bezocht door de doelwitorganisaties, waardoor malware kan worden verspreid via legitiem ogende downloads.

Eenmaal binnen een systeem gaat Sagerunex verder met verkenningsactiviteiten en verzamelt het inlichtingen over de netwerkomgeving. Opdrachten zoals net, tasklist, ipconfig en netstat worden uitgevoerd om de systeemarchitectuur, actieve processen en netwerkverbindingen te identificeren. Als internettoegang beperkt is, kan de malware zich aanpassen door de proxy-instellingen van het doelwit te gebruiken of de Venom-proxytool te implementeren om een externe verbinding tot stand te brengen.

Aanvullende hulpmiddelen die in combinatie met Sagerunex worden ingezet, zijn onder meer:

• Een cookiestealer : extraheert opgeslagen inloggegevens van de Chrome-browser, waardoor mogelijk toegang tot extra accounts en services wordt verleend.
• Privilege Escalation Programs : past gebruikersmachtigingen aan om aanvallers hogere toegang te verlenen.
• Hulpmiddelen voor gegevenscompressie en -versleuteling : verpakt gestolen gegevens veilig voor exfiltratie, waardoor het voor cybersecurityprofessionals moeilijker wordt om ongeautoriseerde overdrachten te detecteren.

Implicaties voor cyberbeveiliging

De voortdurende evolutie van Sagerunex vormt een aanzienlijke uitdaging voor cybersecurityteams, met name binnen de overheid en kritieke infrastructuursectoren. Het gebruik van legitieme services voor communicatie en data-exfiltratie compliceert detectie-inspanningen, omdat traditionele beveiligingsmaatregelen schijnbaar onschuldige activiteiten met betrekking tot platforms zoals Dropbox en Zimbra over het hoofd kunnen zien.

Organisaties moeten een proactieve benadering hanteren om zich te verdedigen tegen dit soort bedreigingen. Aanbevolen strategieën zijn onder andere:

• Verbeter de e-mailbeveiliging : door geavanceerde e-mailfiltering te implementeren en medewerkers te trainen in het herkennen van spear-phishingpogingen, kunt u het risico op een eerste infectie verkleinen.
• Netwerkverkeer bewaken : door uitgaande communicatie te analyseren op ongebruikelijke activiteiten, kunt u verborgen C2-kanalen identificeren.
• Verbetering van de endpointbeveiliging : met behulp van gedragsanalysetools kunt u verdachte processen detecteren die wijzen op malware-activiteit.
• Toepassing van Zero Trust-principes : door de toegang te beperken op basis van geverifieerde identiteiten en segmentatiestrategieën te implementeren, kan de mogelijkheid van een aanvaller om zich lateraal binnen een netwerk te bewegen, worden beperkt.

Laatste gedachten

De opkomst van nieuwe Sagerunex-varianten onderstreept de aanpasbaarheid en persistentie van cyberdreigingsactoren zoals Lotus Panda. Naarmate hun tactieken zich blijven ontwikkelen, moeten ook de verdedigingen van doelwitorganisaties evolueren. Door de mogelijkheden en doelstellingen van deze malware te begrijpen, kunnen bedrijven en overheidsinstanties de nodige stappen ondernemen om hun cybersecurity-houding te versterken en de risico's van deze steeds geavanceerdere bedreigingen te minimaliseren.