«Կասպերսկի» ընկերությունը հայտնաբերել է Andariel կիբեռխմբի նոր բարդ արշավ
«Կասպերսկի» ընկերության փորձագետները Lazarus-ի կազմի մեջ մտնող Andariel կիբեռխմբի զինանոցում նոր գործիք են հայտնաբերել: Դա հեռավար հասանելիության տրոյացի է, որն ստացել է EarlyRat անվանումը։ Andariel-ն այն օգտագործում է DTrack լրտեսական ծրագրի և Maui շորթիչի հետ միասին:
Առաջնային վարակումը տեղի է ունենում Log4j էքսպլոյտի միջոցով: Վերլուծելով դրա օգտագործման դեպքերից մեկը՝ «Կասպերսկի»-ի փորձագետները հայտնաբերել են EarlyRat տրոյացու տարբերակ։ Հետազոտության ընթացքում պարզվել է, որ վնասաբեր ծրագիրը կարող է սարքում հայտնվել Log4j-ի օգնությամբ հայտնաբերված խոցելիության կամ ֆիշինգային փաստաթղթերում առկա հղումների միջոցով:
Փորձագետները կարողացել են վերաստեղծել հրամանների կատարման գործընթացը։ Պարզվել է, որ դրանք իրականացրել է, ամենայն հավանականությամբ, անփորձ մարդ օպերատորը։ Դրա մասին են վկայում բազմաթիվ սխալներն ու վրիպակները, օրինակ՝ «Program»-ի փոխարեն «Prorgam»-ը։
EarlyRat վնասաբեր ծրագիրը, ինչպես և հեռավար հասանելիության շատ այլ տրոյացիներ (Remote Access Trojan, RAT), ակտիվացումից հետո հավաքում է համակարգի տեղեկատվությունը և այն փոխանցում հսկիչ-հրամանատարական սերվեր՝ ըստ որոշակի շաբլոնի: Դրա փոխանցած տվյալները ներառում են վարակված մեքենաների եզակի նույնացուցիչներ և հարցումներ, որոնք ծածկագրվում են այդ նույնացուցիչների միջոցով:
Ընկերության տվյալներով՝ ֆունկցիոնալության առումով EarlyRat տրոյացին առանձնանում է իր պարզությամբ և հիմնականում սահմանափակվում է հրամանների կատարմամբ։ Այն շատ նման է MagicRat-ին՝ վնասաբեր ծրագրի, որն ընդգրկված է Lazarus-ի զինանոցում: Նմանությունների թվում են ֆրեյմվորքերի օգտագործումը (Qt՝ MagicRat-ի և PureBasic՝ EarlyRat-ի համար) և երկու տրոյացիների սահմանափակ ֆունկցիոնալությունը։
«Մենք տեսնում ենք բազմաթիվ կիբեռխմբեր, որոնց կազմը փոփոխվում է։ Նրանց համար սովորական գործելակերպ է այլ կիբեռխմբերի, այդ թվում՝ փոխկապակցված կազմակերպությունների կոդի ադապտացումը, որոնք կարող են ընկալվել որպես անկախ կառույցներ՝ անցնելով մի տիպի վնասաբեր ծրագրից մյուսին։ Բացի բարդ գործողություններից, ենթախմբերը, ինչպիսիք են Andariel-ը Lazarus-ում, կատարում են կիբեռհանցավորությանն ավելի բնորոշ գործողություններ, օրինակ՝ տեղադրում են շորթող ծրագրեր։ Ինչպես Andariel-ի դեպքում, մարտավարությունների, տեխնիկաների և ընթացակարգերի իմացությունը թույլ է տալիս զգալիորեն կրճատել վերագրման ժամանակը և հայտնաբերել հարձակումները վաղ փուլում»,- մեկնաբանում է Սպառնալիքների հետազոտությունների և վերլուծության գլոբալ կենտրոնի ղեկավար Իգոր Կուզնեցովը:
Andariel-ի արշավի մասին ավելին կարելի է իմանալ https://securelist.com/lazarus-andariel-mistakes-and-easyrat/110119/ հղմամբ։