Sagerunex Malware Variants: A Closer Look at the Evolving Cyber Threat

Cybersäkerhetsforskare har avslöjat ny utveckling i den pågående verksamheten för hackergruppen som kallas Lotus Panda. Denna hotaktör, som tros ha kopplingar till Kina, har aktivt riktat in sig på regerings-, tillverknings-, telekommunikations- och medieorganisationer i flera regioner, inklusive Filippinerna, Vietnam, Hongkong och Taiwan. I centrum för deras verksamhet är en utvecklande skadlig programvara känd som Sagerunex, som har använts som en bakdörr för cyberspionage sedan åtminstone 2016.

Vad är Sagerunex?

Sagerunex är en sofistikerad bakdörr skadlig kod designad för att infiltrera riktade system, samla in värdinformation och exfiltrera data till en extern server som kontrolleras av angripare. Skadlig programvara har genomgått betydande modifieringar under åren, med dess senaste varianter som visar förbättrade möjligheter för att bibehålla uthållighet och undvika upptäckt. Dessa ändringar är ett bevis på Lotus Pandas kontinuerliga ansträngningar att förfina sina verktyg och förbättra sin cyberspionageverksamhet.

Sagerunex kommer ursprungligen från en äldre skadlig programvara som heter Evora och fungerar som en ingångspunkt till komprometterade nätverk. Väl inne etablerar den en hemlig kommunikationskanal som gör att angriparna kan utfärda kommandon på distans. De senaste versionerna av skadlig programvara drar fördel av allmänt använda onlinetjänster som Dropbox , X (tidigare Twitter) och Zimbra, och använder dem som kommando-och-kontroll-tunnlar (C2). Genom att utnyttja dessa legitima plattformar kan angriparna kringgå konventionella säkerhetsåtgärder och upprätthålla långtidsåtkomst till komprometterade system.

Vad är angriparna ute efter?

Det primära syftet med Lotus Pandas kampanjer är att bedriva cyberspionage genom att samla in känslig information från riktade enheter. Skadlig programvara gör det möjligt för angripare att:

• Harvest System Information : Sagerunex samlar in detaljer om värddatorn, inklusive användaruppgifter, pågående processer och nätverkskonfigurationer.
• Utför fjärrkommandon : Bakdörren tillåter hotaktörer att köra kommandon på komprometterade enheter, vilket ger dem en hög grad av kontroll över infekterade maskiner.
• Stjäla data : Stulen information komprimeras och krypteras ofta innan den skickas till fjärrservrar, vilket gör upptäckt och analys mer utmanande för cybersäkerhetsteam.
• Behåll smygande och uthållighet : Genom att bädda in sig själv i legitima webbtjänster säkerställer skadlig programvara att den kan undvika säkerhetsverktyg och fortsätta att arbeta i komprometterade nätverk under längre perioder.

En anmärkningsvärd egenskap hos Zimbra webmail-varianten av Sagerunex är dess förmåga att ta emot kommandoinstruktioner via e-postinnehåll. Angripare bäddar in kommandon i Zimbra-e-postmeddelanden och skadlig programvara söker efter legitima instruktioner. Om giltiga kommandon upptäcks, exekveras de; annars raderas meddelandeinnehållet för att undvika att misstankar väcks. Detta innovativa tillvägagångssätt belyser den ökande sofistikeringen av Lotus Pandas cyberverksamhet.

Hur fungerar Sagerunex?

Även om den exakta metoden för initial infektion fortfarande är oklar, har Lotus Panda en historia av att använda spjutfiskekampanjer och vattenhålsattacker. Dessa tekniker innefattar:

• Spear-Phishing : Skickar noggrant utformade e-postmeddelanden som lurar mottagare att klicka på skadliga länkar eller öppna infekterade bilagor.
• Vattenhålsattacker : Kompromissar på betrodda webbplatser som ofta besöks av de riktade organisationerna, vilket gör att skadlig programvara kan levereras genom lagliga nedladdningar.

Väl inne i ett system fortsätter Sagerunex med spaningsaktiviteter och samlar in intelligens om nätverksmiljön. Kommandon som net, tasklist, ipconfig och netstat exekveras för att identifiera systemarkitektur, pågående processer och nätverksanslutningar. Om internetåtkomst är begränsad kan skadlig programvara anpassa sig genom att använda målets proxyinställningar eller distribuera Venom proxy-verktyget för att upprätta en extern anslutning.

Ytterligare verktyg som används i samband med Sagerunex inkluderar:

• A Cookie Stealer : Extraherar lagrade Chrome-webbläsaruppgifter, vilket potentiellt ger åtkomst till ytterligare konton och tjänster.
• Privilege Escalation Programs : Justerar användarbehörigheter för att ge angripare åtkomst på högre nivå.
• Datakomprimerings- och krypteringsverktyg : Packar stulen data på ett säkert sätt för exfiltrering, vilket gör det svårare för cybersäkerhetsproffs att upptäcka obehöriga överföringar.

Konsekvenser för cybersäkerhet

Den kontinuerliga utvecklingen av Sagerunex utgör en betydande utmaning för cybersäkerhetsteam, särskilt inom statliga och kritiska infrastruktursektorer. Användningen av legitima tjänster för kommunikation och dataexfiltrering komplicerar upptäcktsinsatser, eftersom traditionella säkerhetsåtgärder kan förbise till synes godartade aktiviteter som involverar plattformar som Dropbox och Zimbra.

Organisationer måste anta ett proaktivt förhållningssätt för att försvara sig mot dessa typer av hot. Rekommenderade strategier inkluderar:

• Att stärka e-postsäkerheten : Implementering av avancerad e-postfiltrering och utbildning av anställda att känna igen försök till spjutfiske kan minska risken för initial infektion.
• Övervaka nätverkstrafik : Att analysera utgående kommunikation för ovanlig aktivitet kan hjälpa till att identifiera dolda C2-kanaler.
• Förbättra ändpunktsskydd : Genom att implementera beteendeanalysverktyg kan misstänkta processer upptäckas som tyder på skadlig programvara.
• Tillämpa principer för noll förtroende : Begränsning av åtkomst baserat på verifierade identiteter och implementering av segmenteringsstrategier kan begränsa en angripares förmåga att röra sig i sidled inom ett nätverk.

Slutliga tankar

Framväxten av nya Sagerunex-varianter understryker anpassningsförmågan och uthålligheten hos cyberhotsaktörer som Lotus Panda. När deras taktik fortsätter att utvecklas, så måste också försvaret av riktade organisationer. Genom att förstå kapaciteten och målen för denna skadliga programvara kan företag och statliga enheter vidta nödvändiga åtgärder för att stärka sin cybersäkerhetsställning och minimera riskerna med dessa allt mer sofistikerade hot.