Кампанията HelloNet използва легитимен компонент на защитен продукт, за да инсталира прокси и допълнителни бекдори

Напреднала заплашителна група използва механизма за обновяване на ViPNet, за да атакува руски организации, включително държавни структури.

Кампанията, наречена HelloNet, е активна поне от май и според изследователи на Kaspersky е засегнала организации от държавния сектор, енергетиката, транспорта, образованието и логистиката.

ViPNet е широко използван пакет за информационна сигурност, разработен от руската компания InfoTeCS. Той включва VPN, защитни механизми за крайни устройства и мрежи, управление на сертификати и защитен обмен на съобщения и файлове. Продуктът има особено широко присъствие в Русия и се използва и в регулирани среди.

Злонамерена DLL се зарежда чрез легитимен компонент

При атаката в директорията на локалната система за обновяване на ViPNet е поставен файлът wtsapi32.dll, наречен HelloInjector. Той се зарежда чрез легитимния itcsrvup64.exe при стартиране на системата – техника, известна като DLL sideloading.

След това зловредният компонент инжектира код в svchost.exe, което позволява на нападателите да постигнат постоянство след рестартиране и изпълнение с повишени привилегии.

Основният имплант HelloProxy работи в паметта и комуникира със сървър за управление, откъдето получава допълнителни модули. HelloExecutor може да изпълнява команди и да извършва мрежово разузнаване, докато HelloCleaner изтрива логове на ViPNet, за да прикрие следите от атаката. Друг компонент, HelloBackdoor, позволява изпълнение на команди и прехвърляне на файлове.

Произходът на нападателите остава неясен

Kaspersky предполага, че зад кампанията може да стои китайскоезична APT група, но оценява тази атрибуция с ниска увереност. Наличните доказателства са ограничени и не се изключва възможността за операция под чужд флаг.

Организациите, използващи ViPNet, трябва да засилят мониторинга на системите и трафика, особено към портове 5003, 5060 и 443.