• Добро пожаловать в Пиратскую Бухту! Чтобы получить полный доступ к форуму пройдите регистрацию!
  • Гость, стой!

    В бухте очень не любят флуд и сообщения без смысловой нагрузки!
    Чтобы не получить бан, изучи правила форума!

    Если хотите поблагодарить автора темы, или оценить реплику пользователя, для этого есть кнопки: "Like" и "Дать на чай".

Новости Неизвестная китайская группировка использует кастомные загрузчики Cobalt Strike

Пригоршня

Штурман
Журналист
Регистрация
26.10.16
Сообщения
2,238
Онлайн
36д 16ч 12м
Сделки
251
Нарушения
0 / 0
Montserrat Semi-Bold.png

Исследователи ИБ-компании Trend Micro обнаружили ранее неизвестную китайскую APT-группу Earth Longzhi, которая нацелена на организации в Восточной Азии, Юго-Восточной Азии и Украине.

Злоумышленники действуют как минимум с 2020 года, используя специальные версии загрузчиков Cobalt Strike для установки постоянных бэкдоров в системы жертв.

Согласно новому отчету Trend Micro, у Earth Longzhi такие же TTPs, что и у группы Earth Baku. Считается, что обе группы входят в состав крупной поддерживаемой государством группировки APT41.

Отчет Trend Micro иллюстрирует две кампании, проведенные Earth Longzhi, первая из которых проводилась в период с мая 2020 года по февраль 2021 года. За это время хакеры атаковали несколько инфраструктурных компаний и правительственную организацию на Тайване, а также банк в Китае.

Хакеры использовали специальный загрузчик Cobalt Strike под названием «Symatic», который имеет сложную систему защиты от обнаружения, включающую следующие функции:
  • Удаление перехватчика API из «ntdll.dll», получение необработанного содержимого файла и замена образа «ntdll» в памяти копией, не отслеживаемой средствами безопасности;
  • Создание нового процесса для атаки «Process injection» и маскировка родительского процесса, чтобы запутать цепочку;
  • Внедрение расшифрованной полезной нагрузки во вновь созданный процесс.
Для своих основных операций Earth Longzhi использовала универсальный хакерский инструмент, который объединял различные общедоступные инструменты в одном пакете. Этот инструмент может:
  • открывать прокси-сервер SOCKS5;
  • выполнять сканирование паролей на серверах MS SQL;
  • отключать защиту файлов Windows;
  • изменять временные метки файлов;
  • сканировать порты;
  • запускать новые процессы;
  • перечислять файлы на дисках;
  • выполнять команды с помощью «SQLExecDirect».
Вторая кампания, за которой наблюдала Trend Micro, длилась с августа 2021 года по июнь 2022 года и была нацелена на страховые и городские компании на Филиппинах и авиационные компании в Таиланде и на Тайване.

В этих атаках Earth Longzhi развернула новый набор пользовательских загрузчиков Cobalt Strike с различными функциями, среди которых содержится загрузчик BigpipeLoader.

BigpipeLoader использует неопубликованную загрузку DLL (WTSAPI32.dll) в легитимном приложении (wusa.exe) для запуска загрузчика (chrome.inf) и внедрения Cobalt Strike в память.

После запуска Cobalt Strike на цели хакеры используют специальную версию Mimikatz для кражи учетных данных и используют эксплойты «PrintNighmare» и «PrintSpoofer» для повышения привилегий. Чтобы отключить продукты безопасности на хосте, Earth Longzhi использует инструмент ProcBurner для завершения определенных запущенных процессов.

Следуя этой тактике, Earth Longzhi удалось оставаться незамеченной в течение как минимум 2,5 лет, и после их обнаружения исследователями Trend Micro они, вероятно, перейдут на новую тактику.
 
Сверху