Колективът, известен като BrazenBamboo, се е възползвал от нерешен недостатък в сигурността на FortiClient за Windows на Fortinet, за да извлече данни за VPN като част от модулна рамка, наречена DEEPDATA.
Компанията Volexity, която оповести констатациите в петък, заяви, че е идентифицирала нулевия ден за експлоатация на уязвимостта за разкриване на пълномощия през юли 2024 г., като описа BrazenBamboo като разработчика, който стои зад DEEPDATA, DEEPPOST и LightSpy.
„DEEPDATA е модулен инструмент за постексплоатация за операционната система Windows, който се използва за събиране на широк спектър от информация от целеви устройства“, заявиха в петък изследователите по сигурността Callum Roxan, Charlie Gardner и Paul Rascagneres.
За първи път зловредният софтуер стана известен по-рано тази седмица, когато BlackBerry подробно описа рамката за наблюдение, базирана на Windows, използвана от свързания с Китай колектив APT41 за събиране на данни от WhatsApp, Telegram, Signal, WeChat, LINE, QQ, Skype, Microsoft Outlook, DingDing, Feishu, KeePass, както и пароли за приложения, информация от уеб браузъра, Wi-Fi горещи точки и инсталиран софтуер.
„От първоначалното си разработване на шпионския имплант LightSpy през 2022 г. нападателят упорито и методично работи по стратегическото насочване към комуникационни платформи, като акцентира върху скритостта и постоянния достъп“, отбеляза екипът за изследване на заплахите в BlackBerry.
Основният компонент на DEEPDATA е модул за зареждане на динамични библиотеки (DLL), наречен „data.dll“, който е разработен така, че да декриптира и стартира 12 различни приставки с помощта на модул оркестратор („frame.dll“). Сред плъгините присъства недокументирана досега DLL библиотека „FortiClient“, която може да улавя данни за VPN.
„Установено е, че този плъгин се възползва от уязвимост от нулев ден в VPN клиента на Fortinet за Windows, която му позволява да извлича идентификационните данни за потребителя от паметта на процеса на клиента“, казват изследователите.
Volexity заяви, че е докладвала за дефекта на Fortinet на 18 юли 2024 г., но отбеляза, че уязвимостта остава непоправена. The Hacker News потърси компанията за коментар и ще актуализираме историята, ако получим отговор.
Друг инструмент, който е част от портфолиото от зловреден софтуер на BrazenBamboo, е DEEPPOST – инструмент за ексфилтриране на данни след експлоатиране, който е в състояние да ексфилтрира файлове към отдалечена крайна точка.
DEEPDATA и DEEPPOST допълват вече мощните възможности за кибершпионаж на заплахата, като разширяват LightSpy, който се предлага в различни варианти за macOS, iOS, а сега и за Windows.
„Архитектурата на варианта на LightSpy за Windows се различава от другите документирани варианти за операционни системи“, казва Volexity. „Този вариант се разгръща чрез инсталатор, който разполага с библиотека за изпълнение на шел код в паметта. Шел кодът изтегля и декодира компонента оркестратор от сървъра [за управление и контрол].“
Оркестраторът се изпълнява с помощта на програма за зареждане, наречена BH_A006, която преди това е била използвана още от предполагаема китайска група за заплахи, наречена Space Pirates, която има история на атаки срещу руски структури.
При това понастоящем не е ясно дали това припокриване се дължи на това дали BH_A006 е търговски наличен зловреден софтуер или е доказателство за дигитален квартален администратор, който отговаря за надзора на централизиран фонд от инструменти и техники сред китайските заплахи.
Веднъж стартиран, оркестърът LightSpy използва WebSocket и HTTPS за комуникация, съответно за ексфилтрация на данни, и използва цели осем приставки за запис на уебкамера, стартиране на отдалечен шел за изпълнение на команди и събиране на аудио, данни от браузъра, файлове, натискания на клавиши, екранни снимки и списък с инсталиран софтуер.
LightSpy и DEEPDATA споделят няколко съвпадения на ниво код и инфраструктура, което подсказва, че двете семейства зловреден софтуер вероятно са дело на частно предприятие, на което е възложено да разработва хакерски инструменти за правителствени оператори, за което свидетелстват компании като Chengdu 404 и I-Soon.
„BrazenBamboo е добре обезпечен с ресурси хакерски колектив, който поддържа многоплатформени възможности с оперативна дълготрайност“, заключава Volexity. „Широтата и зрелостта на техните възможности показват както способна функция за разработка, така и оперативни изисквания, които движат резултатите от разработката.“
