Эксперты описали, как APT-группы используют системные службы для проведения самых разрушительных атак.
Исследователи из Alto Networks Unit 42 описали , как APT-группы используют DLL-библиотеки для заражения устройств. Эксперты описали атаки APT-групп Stately Taurus (PKPLUG, Mustang Panda) и Evil Corp . Они также рассказали, как идентифицировать атаки с помощью поиска неподписанных DLL-библиотек.
Вредоносные DLL-библиотеки являются распространенным методом, используемый злоумышленниками, для выполнения вредоносных полезных нагрузок в зараженных системах. Большинство вредоносных DLL- библиотек имеют 3 общих характеристики:<ul><li>DLL-библиотеки в основном записываются по непривилегированным путям;</li>
</ul><ul><li>DLL-библиотеки не подписаны;</li>
</ul><ul><li>Чтобы избежать обнаружения, хакеры загружают DLL-библиотеки с помощью подписанного процесса – утилиты для загрузки DLL-библиотек (например, rundll32.exe) или исполняемого файла, который загружает DLL как часть своей работы.</li>
</ul>Анализ атак показал, что наиболее распространенными непривилегированными путями для загрузки вредоносных неподписанных DLL-библиотек являются папки ProgramData, AppData и домашние каталоги пользователей.
В ходе расследования были выявлены различные семейства вредоносных программ, которые использовали загрузку неподписанных DLL в период с января по август 2022 года.
https://www.securitylab.ru/upload/im...t-img(515).png
Вредоносное ПО, обнаруженное при загрузке DLL.
Анализ методов развертывания указанного вредоносного ПО показал, что банковские трояны и отдельные хакеры обычно используют «rundll32.exe» или «regsvr32.exe» для загрузки вредоносной DLL-библиотеки, в то время как APT-группы используют технику боковой загрузки DLL (DLL Sideloading).
Stately Taurus
Stately Taurus — это китайская APT-группа, которая обычно атакует неправительственные организации и использует законное ПО для загрузки полезной нагрузки.
В ходе анализа эксперты выяснили, что группа использует технику перехвата порядка поиска DLL (DLL Hijacking), которая позволяет вредоносной DLL загружаться в пространство памяти легитимного процесса. Хакеры использовали несколько компонентов стороннего ПО для боковой загрузки DLL, например, антивирусное ПО и программу для чтения PDF-файлов.
Для выполнения боковой загрузки DLL, группа поместила полезную нагрузку в папку «ProgramData», которая содержит 3 файла:<ul><li>безопасный EXE-файл для перехвата DLL (AvastSvc.exe);</li>
</ul><ul><li>DLL-файл (wsc.dll);</li>
</ul><ul><li>зашифрованную полезную нагрузку (AvastAuth.dat).</li>
</ul>
Загруженная DLL загружает зашифрованную полезную нагрузку из файла .dat, которая является RAT-трояном PlugX RAT .
https://www.securitylab.ru/upload/im...t-img(516).png
Файлы в папке ProgramData
Raspberry Robin (Evil Corp)
Действия по загрузке DLL, которые происходят в этих атаках, были приписаны кампании Raspberry Robin .
Атака начинается с файла ярлыка на зараженном USB-устройстве, который запускает исполняемый файл «msiexec.exe» для извлечения вредоносной DLL с удаленного C&amp;C сервера. Во время установки создается запланированная задача для обеспечения устойчивости, загружающая DLL с помощью «rundll32.exe/regsvr32.exe» при запуске системы.
Специалисты Unit 42 сказали, что вы можете самостоятельно выявить загрузку неподписанных DLL-библиотек. Нужно сосредоточиться на следующем:<ul><li>В случае боковой загрузки DLL следует обратить внимание на известное стороннее ПО, размещенное в нестандартных каталогах;</li>
</ul><ul><li>Энтропия файла — двоичные файлы с высоким значением энтропии могут содержать упакованный раздел, который будет извлечен во время выполнения;</li>
</ul><ul><li>Частота выполнения — результаты с высокой частотой могут указывать на законную деятельность, которая происходит периодически, а результаты с низкой частотой могут быть вредоносными;</li>
</ul><ul><li>Путь к файлу — обращайте внимание на результаты, содержащие папки или файлы с зашифрованными именами.</li>
</ul>