Cyberprzestępcy coraz częściej dzielą się między sobą umiejętnościami, napędzając wzrost liczby i możliwości zagrożeń. Badacze z firmy WithSecure udokumentowali migrację złośliwego narzędzia „SILKLOADER” od chińskich cyberprzestępców do rosyjskich gangów ransomware.
Narzędzie stworzone w Chinach
SILKLOADER to rodzaj złośliwego oprogramowania typu loader. Używa on techniki znanej jako DLL sideloading (jest to jeden ze sposobów ataku przy pomocy bibliotek dołączanych dynamicznie), aby uaktywnić Cobalt Strike (znane narzędzie do prowadzenia działań ofensywnych oraz testów penetracyjnych) na urządzeniach. Daje to atakującym stały dostęp do zainfekowanych urządzeń w celu ich dalszego wykorzystania.
Przed latem 2022 r. SILKLOADER był wykorzystywany wyłącznie przez chińskich cyberprzestępców przeciwko celom w Azji Wschodniej – głównie Hongkongowi i Chinom. Jego aktywność ustała jednak w lipcu. We wrześniu oprogramowanie pojawiło się ponownie w innym zestawie ataków na różne cele w różnych krajach na różnych kontynentach w tym na Tajwanie, w Brazylii i we Francji.
Złośliwe oprogramowanie na sprzedaż
Badacze WithSecure, monitorując wykorzystanie tego oprogramowania, doszli do wniosku, że SILKLOADER przeniósł się do rosyjskiego ekosystemu cyberprzestępczego. Najbardziej prawdopodobnym wyjaśnieniem jest to, że chińscy hakerzy sprzedali go rosyjskim gangom.
Uważamy, że dystrybucja SILKLOADER odbywa się w ramach rosyjskiego ekosystemu cyberprzestępczego. Sprzedawany jest on jako gotowy program ładujący poprzez program Packer-as-a-Service dla grup ransomware lub przez grupy oferujące Cobalt Strike/Infrastructure-as-a-Service zaufanym partnerom – tłumaczy badacz WithSecure Intelligence Mohammad Kazem Hassan Nejad – Wydaje się, że większość podmiotów powiązanych z atakami była częścią lub miała bliskie relacje z prorosyjską grupą CONTI.
Omijanie mechanizmów obronnych
Według Hassana Nejada, loader został zbudowany w celu ukrycia beaconów Cobalt Strike, by dzięki temu móc ominąć mechanizmy obronne ofiary.
Beacony Cobalt Strike są znane i wykrycie ich na dobrze zabezpieczonym urządzeni jest bardzo prawdopodobne. Jednak dodając dodatkowe warstwy złożoności, zawartości pliku i uruchamiając go za pośrednictwem znanej aplikacji, takiej jak Media Player, atakujący mają nadzieję na uniknięcie mechanizmów obronnych – powiedział.
Wyzwanie dla cyberbezpieczeństwa
Według wiceprezesa WithSecure Intelligence, Paolo Palumbo, dostępność loadera jako usługi, którą mogą kupić cyberprzestępcy, podkreśla potrzebę przeciwdziałania handlowi złośliwym oprogramowaniem.
Atakujący wykorzystują narzędzia i technologie innych gangów, dzięki czemu mogą szybko dostosowywać operacje tak, aby omijać systemy obronne swoich celów. Przez to coraz trudniej jest nam powiązać konkretną grupę z danymi metodami ataków. Z drugiej strony, to współdzielenie narzędzi przez grupy przestępcze oferuje nam „defensywny multiplikator siły”. Jednocześnie możemy bronić się przed kilkoma grupami jednocześnie, tworząc strategie przeciwdziałania wspólnym technologiom, z których korzystają cyberprzestępcy – podkresla Palumbo.
