ESET попереджає про виявлення раніше незафіксованого бекдору
Компанія ESET попереджає про виявлення раніше не записаного бекдора
ESET повідомляє про виявлення раніше незареєстрованого бекдора під назвою «Вивева», який використовувався для атаки на логістичну компанію. Зловмисне програмне забезпечення може перехоплювати файли та збирати інформацію про конкретний комп'ютер та його диски.
Дослідження виявило лише два заражених пристрої, які є серверами однієї логістичної компанії, що підтверджує націленість атак. При цьому бекдор "Вивева" використовується як мінімум з грудня 2018 року.
ESET приписує це шкідливе ПЗ відомій групі кіберзлочинців Lazarus через загальну схожість з їх попередніми атаками. "Шкідливий код Вив'єва багато в чому схожий з іншими зразками Lazarus, виявленими ESET. Крім того, Lazarus вказує на використання підробленого протоколу TLS на мережевому підключенні, порядок виконання командного рядка, а також на способи застосування шифрування і tor-сервісів. Саме тому бекдор Вивева можна впевнено використовувати. зверніться до інструментарію цієї групи APT" , - коментує дослідник ESET.
Бекдор виконує команди, які надходять від зловмисників, наприклад, операції з файлами і процесами, а також збирає інформацію. Вивєва використовує бібліотеку Tor для зв'язку з сервером C&C. Зокрема, бекдор підключається до C&C кожні 3 хвилини, відправляючи інформацію про зараженому комп'ютері і його дисках перед отриманням команд.
«Особливий інтерес представляє система захисту бекдора, яка використовується для моніторингу підключених і відключених дисків. Тоді як таймер безпеки сеансу відстежує кількість активних сесій, таких як користувачі, які увійшли в систему. Ці компоненти можуть ініціювати підключення до командно-керуючого сервера на додаток до звичайного, попередньо налаштованого інтервалу», - пояснює дослідник ESET.
