Хакерски колектив, който вероятно е свързан с известната севернокорейска група Kimsuky, разпространява нова версия на зловредния софтуер с отворен код XenoRAT за кражба на информация, като използва сложна инфраструктура от сървъри за управление и контрол (C2), системи за подготовка и тестови машини.

Вариантът, който изследователите от Cisco Talos проследяват като MoonPeak, след като го откриха наскоро, е в процес на активна разработка и през последните няколко месеца непрекъснато се развива на малки стъпки – което прави откриването и идентифицирането му по-трудни.

MoonPeak: Вариант на XenoRAT

„Въпреки че MoonPeak съдържа повечето от функционалностите на оригиналния XenoRAT, нашият анализ наблюдава последователни промени във всички варианти“, заявиха изследователите от Cisco Talos Ашир Малхотра, Гилерме Венер и Витор Вентурс в публикация в блога си тази седмица. „Това показва, че тези хакери променят и развиват кода независимо от версията с отворен код“, отбелязват те.

XenoRAT е зловреден софтуер с отворен код, кодиран на C#, който стана достъпен безплатно в GitHub през октомври миналата година. Троянският кон разполага с множество мощни възможности, включително записване на клавиши, функции за заобикаляне на User Access Control (UAC) и функция за скрито виртуално мрежово изчисление, която позволява на  заплахата тайно да използва компрометирана система едновременно с жертвата.

Cisco Talos наблюдава това, което описва като „спонсорирана от държавата севернокорейска верига от  заплахи“, проследена като UAT-5394, която използва MoonPeak в атаки по-рано тази година. Тактиките, техниките и процедурите (ТТП) на нападателя и неговата инфраструктура имат значително припокриване с групата Kimsuky, отдавна известна с шпионската си дейност, насочена към организации в множество сектори, особено в областта на изследванията и политиката в областта на ядрените оръжия.

Припокриванията накараха Cisco Talos да предположи, че или наблюдаваният клъстер от дейности UAT-5394 е всъщност самата Kimsuky, или друга севернокорейска APT, която използва инфраструктурата на Kimsuky. При липсата на категорични доказателства доставчикът на услуги за сигурност реши поне засега да следи UAT-5394 като независима севернокорейска група за напреднали постоянни заплахи (APT).

Постоянни модификации на MoonPeak

Според изследователите от Cisco Talos техният анализ на MoonPeak показва, че нападателите са направили няколко модификации на кода на XenoRAT, като същевременно са запазили много от основните му функции. Сред първите модификации е промяната на клиентското пространство за имена от „xeno rat client“ на „cmdline“, за да се гарантира, че други варианти на XenoRAT няма да работят, когато са свързани към сървър на MoonPeak, казват от Cisco Talos.

„Промяната на пространството от имена предотвратява свързването на измамните импланти с тяхната инфраструктура и освен това предотвратява свързването на собствените импланти с излезлите от употреба сървъри XenoRAT C2“, се казва в публикацията в блога.

Изглежда, че са направени и други модификации с цел замазване на зловредния софтуер и затрудняване на анализа. Сред тях е използването на изчислителен модел, наречен State Machines (машини на състоянията), за асинхронно изпълнение на зловредния софтуер, което прави потока на програмата по-малко линеен и следователно по-труден за проследяване. По този начин задачата за обратно инженерство на зловредния софтуер става по-трудна и отнема повече време.

В допълнение към промените в самия зловреден софтуер, Cisco Talos също така наблюдава, че заплахата прави непрекъснати промени в своята инфраструктура. Една от най-забележителните беше в началото на юни, скоро след като изследователи от AhLabs съобщиха за по-ранен вариант на XenoRAT, който UAT-5394 е използвал. Разкритието подтикна заплахата да спре да използва публични облачни услуги за хостване на полезните си товари, а вместо това да ги премести в частни и контролирани системи за C2, постановка и тестване на зловредния софтуер.

Поне два от сървърите, които Cisco Talos е наблюдавала, че UAT-5394 използва, изглежда са били свързани с друг зловреден софтуер. В един от случаите доставчикът на услуги за сигурност е наблюдавал сървър на MoonPeak, който се свързва с известен C2 сървър за Quasar RAT – зловреден инструмент, свързан с групата Kimsuky.

„Анализът на образците на MoonPeak разкрива еволюция в зловредния софтуер и съответните му C2 компоненти, която е дала основание на нападателите да разгърнат своите варианти на импланти няколко пъти на тестовите си машини“, казват изследователите от Cisco Talos. Те добавиха, че целта изглежда е да се въведат достатъчно промени, за да се затрудни откриването и идентифицирането, като същевременно се гарантира, че конкретните варианти на MoonPeak работят само с конкретни C2 сървъри.