Warianty złośliwego oprogramowania Sagerunex: bliższe spojrzenie na rozwijające się cyberzagrożenie

Badacze cyberbezpieczeństwa odkryli nowe wydarzenia w trwających działaniach grupy hakerskiej znanej jako Lotus Panda. Ten aktor zagrożeń, o którym uważa się, że ma powiązania z Chinami, aktywnie atakuje organizacje rządowe, produkcyjne, telekomunikacyjne i medialne w kilku regionach, w tym na Filipinach, w Wietnamie, Hongkongu i na Tajwanie. W centrum ich działań znajduje się rozwijający się pakiet złośliwego oprogramowania znany jako Sagerunex, który jest wykorzystywany jako tylne wejście do cybernetycznego szpiegostwa od co najmniej 2016 r.

Czym jest Sagerunex?

Sagerunex to wyrafinowane oprogramowanie typu backdoor, zaprojektowane do infiltracji docelowych systemów, zbierania informacji o hoście i eksfiltracji danych na zewnętrzny serwer kontrolowany przez atakujących. Oprogramowanie to przeszło znaczące modyfikacje na przestrzeni lat, a jego najnowsze warianty wykazują ulepszone możliwości utrzymywania trwałości i unikania wykrycia. Te modyfikacje są świadectwem ciągłych wysiłków Lotus Panda w celu udoskonalenia swoich narzędzi i usprawnienia operacji cybernetycznego szpiegostwa.

Pierwotnie wywodzący się ze starszego złośliwego oprogramowania o nazwie Evora, Sagerunex służy jako punkt wejścia do naruszonych sieci. Po wejściu do środka ustanawia ukryty kanał komunikacyjny, który umożliwia atakującym wydawanie poleceń zdalnie. Najnowsze wersje złośliwego oprogramowania wykorzystują powszechnie używane usługi online, takie jak Dropbox , X (dawniej Twitter) i Zimbra, używając ich jako tuneli poleceń i kontroli (C2). Wykorzystując te legalne platformy, atakujący mogą ominąć konwencjonalne środki bezpieczeństwa i utrzymać długoterminowy dostęp do naruszonych systemów.

Czego szukają atakujący?

Głównym celem kampanii Lotus Panda jest prowadzenie cybernetycznego szpiegostwa poprzez zbieranie poufnych informacji od wybranych podmiotów. Malware umożliwia atakującym:

• Zbieranie informacji o systemie : Sagerunex zbiera szczegóły dotyczące komputera hosta, w tym dane uwierzytelniające użytkownika, uruchomione procesy i konfiguracje sieciowe.
• Wykonywanie poleceń zdalnych : tylne wejście umożliwia atakującym uruchamianie poleceń na zainfekowanych urządzeniach, co zapewnia im wysoki stopień kontroli nad zainfekowanymi maszynami.
• Kradzież danych : Skradzione informacje są często kompresowane i szyfrowane przed wysłaniem na zdalne serwery, co utrudnia zespołom ds. cyberbezpieczeństwa ich wykrywanie i analizę.
• Zachowaj ukrycie i wytrwałość : Dzięki osadzaniu się w legalnych usługach sieciowych złośliwe oprogramowanie może omijać narzędzia zabezpieczające i działać w naruszonych sieciach przez dłuższy czas.

Jedną z godnych uwagi cech wariantu Zimbra webmail Sagerunex jest możliwość otrzymywania instrukcji poleceń za pośrednictwem treści wiadomości e-mail. Atakujący osadzają polecenia w wiadomościach e-mail Zimbra, a złośliwe oprogramowanie skanuje w poszukiwaniu prawidłowych instrukcji. Jeśli zostaną wykryte prawidłowe polecenia, są one wykonywane; w przeciwnym razie treść wiadomości jest usuwana, aby nie wzbudzać podejrzeń. To innowacyjne podejście podkreśla rosnącą wyrafinowaną działalność cybernetyczną Lotus Panda.

Jak działa Sagerunex?

Chociaż dokładna metoda początkowej infekcji pozostaje niejasna, Lotus Panda ma historię stosowania kampanii spear-phishing i ataków na wodopoje. Techniki te obejmują:

• Spear-phishing : wysyłanie starannie przygotowanych wiadomości e-mail, które mają na celu nakłonienie odbiorców do kliknięcia złośliwych linków lub otwarcia zainfekowanych załączników.
• Ataki typu Watering Hole : naruszanie zaufanych witryn internetowych, często odwiedzanych przez organizacje docelowe, co umożliwia rozprzestrzenianie złośliwego oprogramowania za pośrednictwem plików do pobrania, które wyglądają na legalne.

Po wejściu do systemu Sagerunex kontynuuje działania rozpoznawcze, gromadząc informacje na temat środowiska sieciowego. Polecenia takie jak net, tasklist, ipconfig i netstat są wykonywane w celu zidentyfikowania architektury systemu, uruchomionych procesów i połączeń sieciowych. Jeśli dostęp do Internetu jest ograniczony, malware może dostosować się, wykorzystując ustawienia proxy celu lub wdrażając narzędzie proxy Venom w celu nawiązania połączenia zewnętrznego.

Dodatkowe narzędzia wdrożone we współpracy z Sagerunex obejmują:

• Złodziej plików cookie : wyodrębnia zapisane dane logowania przeglądarki Chrome, potencjalnie udzielając dostępu do dodatkowych kont i usług.
• Programy eskalacji uprawnień : Dostosowuje uprawnienia użytkownika w celu udzielenia atakującym dostępu wyższego poziomu.
• Narzędzia do kompresji i szyfrowania danych : Bezpiecznie pakuje skradzione dane w celu ich eksfiltracji, utrudniając specjalistom ds. cyberbezpieczeństwa wykrycie nieautoryzowanych transmisji.

Konsekwencje dla cyberbezpieczeństwa

Ciągła ewolucja Sagerunex stanowi poważne wyzwanie dla zespołów ds. cyberbezpieczeństwa, szczególnie w sektorach rządowych i infrastruktury krytycznej. Korzystanie z legalnych usług do komunikacji i eksfiltracji danych komplikuje działania detekcyjne, ponieważ tradycyjne środki bezpieczeństwa mogą pomijać pozornie niegroźne działania obejmujące platformy takie jak Dropbox i Zimbra.

Organizacje muszą przyjąć proaktywne podejście do obrony przed tego typu zagrożeniami. Zalecane strategie obejmują:

• Wzmocnienie bezpieczeństwa poczty elektronicznej : Wdrożenie zaawansowanego filtrowania poczty elektronicznej i przeszkolenie pracowników w zakresie rozpoznawania prób phishingu może zmniejszyć ryzyko pierwotnej infekcji.
• Monitorowanie ruchu sieciowego : Analiza komunikacji wychodzącej pod kątem nietypowej aktywności może pomóc w identyfikacji ukrytych kanałów C2.
• Ulepszanie ochrony punktów końcowych : Wdrożenie narzędzi do analizy zachowań umożliwia wykrywanie podejrzanych procesów wskazujących na aktywność złośliwego oprogramowania.
• Stosowanie zasad Zero Trust : Ograniczanie dostępu na podstawie zweryfikowanych tożsamości i wdrażanie strategii segmentacji może ograniczyć możliwość atakującego poruszania się w sieci.

Ostatnie przemyślenia

Pojawienie się nowych wariantów Sagerunex podkreśla zdolność adaptacji i wytrwałość cyberprzestępców, takich jak Lotus Panda. W miarę jak ich taktyki ewoluują, tak samo muszą ewoluować obrony organizacji będących celem ataków. Rozumiejąc możliwości i cele tego złośliwego oprogramowania, firmy i podmioty rządowe mogą podjąć niezbędne kroki w celu wzmocnienia swojej postawy cyberbezpieczeństwa i zminimalizowania ryzyka stwarzanego przez te coraz bardziej wyrafinowane zagrożenia.