0 
0 O ator de ameaças de língua chinesa APT10 tem usado um backdoor sofisticado e às vezes sem arquivos para atingir alvos de mídia, diplomáticos, governamentais, do setor público e de think tanks, desde pelo menos março, descobriram pesquisadores.
Pesquisadores da Kaspersky rastreiam a família de malware LodeInfo desde 2019, disseram eles em uma das duas postagens de blog publicadas na segunda-feira que apresentam uma investigação em duas partes sobre a ameaça emergente. O grupo está empenhado em espionagem, principalmente contra alvos japoneses até o momento.
No entanto, como os agentes de ameaças estão constantemente atualizando e modificando o LodeInfo – principalmente com recursos antidetecção e vetores de infecção variados – tem sido difícil acompanhar seu uso e implantação, disseram os pesquisadores.
“O LodeInfo e seus métodos de infecção foram constantemente atualizados e aprimorados para se tornar uma ferramenta de espionagem cibernética mais sofisticada, visando organizações no Japão”, escreveram os pesquisadores em um de seus posts. “Os implantes e módulos carregadores LodeInfo também foram continuamente atualizados para evitar produtos de segurança e complicar a análise manual por pesquisadores de segurança.”
O JPCERT/C nomeou LodeInfo pela primeira vez em uma postagem no blog em fevereiro de 2020, quando era a carga útil em uma campanha de spear phishing direcionada ao Japão, de acordo com a Kaspersky. No ano seguinte, os pesquisadores da Kaspersky também compartilharam novas descobertas durante a conferência HITCON 2021 que cobriu as atividades do LodeInfo de 2019 a 2020. Na época, eles atribuíram o malware ao APT10 – também conhecido como grupo “Cicada” – com “alta confiança”, o disseram pesquisadores.
A mais recente inteligência da Kaspersky sobre o LodeInfo na primeira metade de seu relatório se concentra na identificação das versões atuais do malware – nas quais os pesquisadores detectaram v0.6.6 e v0.6.7 – e seus vários métodos de infecção rastreados entre março e setembro em uso contra alvos em Japão. A segunda parte revela uma investigação de novas versões do shellcode LodeInfo – incluindo v0.5.9, v0.6.2, v0.6.3 e v0.6.5 – identificadas em março, abril e junho, respectivamente, disseram os pesquisadores.
Métodos de Infecções Variadas
Os pesquisadores descreveram quatro métodos de infecção diferentes que os agentes de ameaças estão usando para obter o backdoor LodeInfo nos sistemas das vítimas.
O primeiro, identificado em março e usado em ataques anteriores observados pela Kaspersky, começou com um e-mail de spear phishing que incluía um anexo malicioso instalando módulos de persistência de malware, disseram os pesquisadores. Esses módulos eram compostos por um arquivo EXE legítimo do software K7Security Suite usado para carregamento lateral de DLL , bem como um arquivo DLL malicioso carregado por meio da técnica de carregamento lateral de DLL.
O arquivo DLL malicioso inclui um carregador para o shellcode LodeInfo que contém um shellcode LodeInfo criptografado por XOR de 1 byte identificado internamente pela versão 0.5.9, disseram os pesquisadores.
Outro método de infecção usa um arquivo de extração automática (SFX) no formato RAR que contém três arquivos com comandos de script de extração automática. Quando um usuário-alvo executa esse arquivo SFX, o arquivo descarta outros arquivos e abre um .docx contendo apenas algumas palavras em japonês como isca, disseram os pesquisadores.
Enquanto esse arquivo chamariz está sendo mostrado ao usuário, o script de arquivo executa uma DLL maliciosa por meio do sideload de DLL que inicia um processo que eventualmente implanta o LodeInfo v0.6.3, disseram eles.
Um terceiro vetor de infecção usa outro arquivo SFX, visto pela primeira vez em uma campanha de spear phishing em junho, que explora o nome de um conhecido político japonês e usa script de extração automática e arquivos semelhantes ao vetor anterior. Esse método de infecção inicial também inclui um arquivo adicional que descriptografa o shellcode para o backdoor LodeInfo v0.6.3, disseram os pesquisadores.
“O nome do arquivo e o documento de chamariz sugerem que o alvo era o partido no poder japonês ou uma organização relacionada”, explicaram, acrescentando que observaram outro arquivo SFX com um método e carga semelhante em 4 de julho.
O quarto vetor de infecção que os pesquisadores delinearam foi observado em junho e parece ser um método totalmente novo que os agentes de ameaças adicionaram este ano, disseram eles. Esse vetor usa um shellcode de download sem arquivo – apelidado de “DOWNIISSA” pelos pesquisadores – entregue por um arquivo do Microsoft Word protegido por senha. O arquivo inclui um código de macro malicioso completamente diferente das amostras investigadas anteriormente do LodeInfo, disseram os pesquisadores.
“Ao contrário de exemplos anteriores … onde a macro VBA maliciosa foi usada para descartar diferentes componentes da técnica de sideload de DLL, neste caso o código da macro maliciosa injeta e carrega um shellcode embutido na memória do processo WINWORD.exe diretamente”, explicaram. “Este implante não estava presente em atividades anteriores, e o shellcode também é um shellcode de download de vários estágios recém-descoberto para o LodeInfo v0.6.5.”
Táticas de Evasão Avançadas
Os pesquisadores da Kaspersky também descreveram as várias táticas de evasão avançadas exibidas em novas versões do shellcode do malware, demonstrando como os agentes de ameaças estão evoluindo o malware para aumentar as chances de não serem pegos, disseram os pesquisadores.
“Essas modificações podem servir como uma confirmação de que os agentes de ameaças rastreiam publicações de pesquisadores de segurança e aprendem como atualizar seus TTPs [táticas, técnicas e procedimentos] e melhorar seu malware”, escreveram.
Por exemplo, o shellcode LodeInfo v0.5.6 demonstra várias técnicas de evasão aprimoradas para certos produtos de segurança, bem como três novos comandos de backdoor implementados pelo desenvolvedor, disseram os pesquisadores.
Ele também contém uma chave codificada, NV4HDOeOVyL, usada mais tarde por uma cifra antiquada de Vigenere , e gera dados indesejados aleatórios “possivelmente para evitar a detecção de beaconing com base no tamanho do pacote”, observaram.
Outro shellcode, no LodeInfo v0.5.6, usa algoritmos criptográficos revisados e identificadores de comando backdoor – ofuscados com uma operação XOR de 2 bytes que foi definida como valores codificados de 4 bytes em shellcodes LodeInfo anteriores, disseram os pesquisadores.
“Também observamos o ator implementando novos comandos de backdoor como ‘comc’, ‘autorun’ e ‘config’ no LodeInfo v0.5.6 e versões posteriores”, explicaram. “Vinte e um comandos backdoor, incluindo três novos comandos, são incorporados no backdoor LodeInfo para controlar o host da vítima.”
Outros shellcodes LodeInfo, v0.6.2 e versões posteriores especificamente, incluem um curioso recurso de identificação geográfica que procura a localidade “en_US” na máquina da vítima em uma função recursiva e interrompe a execução se essa localidade for encontrada, disseram os pesquisadores, indicando que o os atores de ameaças estão evitando alvos dos EUA.
Outra modificação central do shellcode LodeInfo observada pela Kaspersky foi o suporte à arquitetura Intel de 64 bits, que expande o tipo de ambiente de vítima que os agentes de ameaças podem atingir, disseram eles.
No geral, os TTPs atualizados e as melhorias no LodeInfo e malware relacionado “indicam que o invasor está particularmente focado em tornar a detecção, análise e investigação mais difícil para os pesquisadores de segurança”, escreveram os pesquisadores.
A Kaspersky compartilhou vários indicadores de comprometimento na segunda parte de seu post no LodeInfo. A empresa está incentivando outros pesquisadores de segurança e a comunidade em geral a colaborar na identificação do LodeInfo e ataques de malware relacionados em ambientes de vítimas para prevenir e mitigar novos ataques.
FONTE: DARK READING