В интернете найден фреймворк для троянских атак на Windows, macOS и Linux

В интернете найден фреймворк для троянских атак на Windows, macOS и Linux

В интернете найден фреймворк для троянских атак на Windows, macOS и Linux

Эксперты Cisco Talos опубликовали результаты анализа набора инструментов атаки, обнаруженного на веб-сервере Apache (в настоящее время неактивен). Тулкит, или фреймворк, как его называют исследователи, содержит нового трояна удаленного доступа Insekt, программу Alchimist, реализующую функции C2, и множество инструментов, пригодных для продвижения по сети после взлома.

И Alchimist, и работающий в памяти Insekt написаны на Go, что позволяет операторам атаковать разные платформы — Windows, Linux, macOS. Из более безобидных инструментов на сервере найдены PsExec, NetCat, сканер интранета fscan и обратный прокси frp, который можно использовать для вывода данных.

Компонент Alchimist представляет собой 64-битное приложение для Linux с ресурсами для веб-интерфейса и Insekt RAT в Windows- и Linux-версиях. Примечательно, что Web UI использует упрощенный китайский язык.

Набор функций Alchimist позволяет оператору генерировать полезную нагрузку нужной конфигурации, открывать сессии удаленного доступа, раздавать пейлоад на целевые машины, выполнять произвольные команды, шелл-код и получать скриншоты. Механизмы заражения при этом можно кастомизировать — создавать фрагменты кода PowerShell (для Windows) или wget (для Linux) для развертывания RAT.

Настройки, задаваемые полезной нагрузке при ее создании, включают такие параметры, как IP-адрес или URL командного сервера, атакуемая платформа (Windows или Linux), протокол передачи данных (TLS, SNI, WSS/WS) и режим работы — основной или фоновый (как демон).

Адрес C2 вшивается в код трояна вместе с самоподписанным сертификатом, создаваемым во время компиляции. Предусмотрен также 10-кратный пинг с секундным интервалом (то есть резидентный бэкдор должен работать как маячок); при отсутствии отклика попытки подключиться возобновляются через час.

Основное назначение 64-битного Insekt — обеспечение удаленного администрирования; его возможности разнообразны и предоставляют оператору широкий выбор. В ходе инициализации зловредный имплант устанавливает множество обработчиков для основных функций:

  • фиксации размеров файлов;
  • сбора данных ОС;
  • выполнения произвольных команд с помощью cmd.exe или bash;
  • самообновления;
  • выполнения команд от имени другого пользователя;
  • ухода в сон на заданный период;
  • активации/деактивации снимков экрана.

Затем вредонос проверяет наличие интернет-связи и статус нужных портов, выполняя подключение с перебором небольшого списка адресов и номеров.

Троян также может работать как прокси (SOCKS5), манипулировать SSH-ключами, сканировать порты и IP, записывать или распаковывать файлы на диск, выполнять на хосте шелл-код. Так, аналитики обнаружили, что Linux-версия Insekt умеет перечислять содержимое папки .ssh в домашнем каталоге пользователя и добавлять новые SSH-ключи в файл authorised_Keys, обеспечивая оператору альтернативный канал связи с зараженной машиной.

Из команд, которые можно задать изначально (в настройках) замечены создание нового пользователя или административной группы, листинг пользователей/админов/контроллеров домена, включение службы терминалов, отключение файрвола либо внесение изменений в правила, чтобы разрешить входящие соединения на определенном TCP-порту.

На macOS-компьютерах зловред пока не работает, хотя на сервере с тулкитом был обнаружен файл Mach-O — написанный на Go 64-битный дроппер со встроенным эксплойтом CVE-2021-4034 и бэкдором, работающим по схеме bind shell. Как оказалось, вредоносная атака в этом случае невозможна из-за отсутствия утилиты pkexec; на Linux-машинах, где она есть, тот же эксплойт с успехом отрабатывает.

Иран подозревают в подготовке к отключению от глобального интернета

Иран подозревают в подготовке к фактическому отключению от глобального интернета. Власти уже ограничили доступ к ресурсам, не входящим в так называемый «белый список», а также последовательно развивают национальную интрасеть, лишь минимально связанную с внешним миром.

О таких планах иранских властей сообщила газета Guardian со ссылкой на эксперта по цифровым правам Амира Рашиди.

По его словам, в стране уже функционирует внутренняя сеть, практически изолированная от глобального интернета и полностью контролируемая государством. Ее развитие стало частью долгосрочной политики по формированию замкнутой цифровой экосистемы.

Как напоминает Guardian, 8 января интернет в Иране был полностью отключен на фоне протестов, вспыхнувших в конце декабря из-за резкого роста цен, связанного с ослаблением национальной валюты. Лишь 12 января доступ частично восстановили — но только к ресурсам из «белого списка», находящимся под полным контролем властей. В него вошли поисковые сервисы, картографические приложения, одобренные мессенджеры и стриминговый сервис.

По словам Рашиди, наиболее значимым каналом связи с внешним миром остаются спутниковые терминалы Starlink. По разным оценкам, их число в стране может достигать 100 тыс., при этом использование таких терминалов в Иране является бесплатным.

Однако их выявление входит в число приоритетных задач силовых структур. Для поиска терминалов используются беспилотники. С лета прошлого года применение Starlink криминализировано, а владельцам оборудования грозит до 10 лет лишения свободы. Кроме того, стабильная работа спутниковой связи затруднена из-за применения средств радиоэлектронной борьбы. Более-менее устойчиво Starlink работает лишь в отдельных регионах страны. По оценке экспертов, опрошенных Guardian, доступ к нему имеют лишь считанные проценты населения. Другие способы обхода ограничений используют крайне немногие иранцы.

Как отметил Амир Рашиди, работы по созданию изолированной цифровой среды ведутся в Иране уже несколько лет. «Скелет» внутренней сети, по его словам, фактически уже сформирован, а уровень ограничений в ней может оказаться жестче, чем в Китае. По неподтвержденной информации, после подавления протестов жителям страны могут оставить доступ только к этой внутренней сети, с минимальной связью с глобальным интернетом.

В то же время, как сообщило РИА Новости со ссылкой на иранское агентство FARS, полный доступ к интернету в Иране может быть восстановлен в течение одной-двух недель — и в том же объеме, что и до отключения.

«В течение предстоящей недели-двух соответствующими органами будет принято окончательное решение о предоставлении большего доступа к интернету», — говорится в сообщении FARS.

RSS: Новости на портале Anti-Malware.ru