Shellter Project потвърди, че тяхната комерсиална платформа за заобикаляне на антивирусна и EDR защита – Shellter Elite – е била използвана от хакери след изтичане на лицензирано копие.

Проектът Shellter, популярен сред специалистите по киберсигурност заради възможностите си за скрито зареждане на пейлоуди в Windows среди, обяви, че е жертва на изтичане на софтуер, след като клиент е нарушил лицензионните условия и е предал Shellter Elite на неоторизирани лица. В резултат на това киберпрестъпници са използвали инструмента, за да разпространяват зловреден софтуер, включително крадци на данни (infostealers).

Какво представлява Shellter Elite?

Shellter Elite е AV/EDR заобикалящ лоудър, предназначен за легитимна употреба в етични тестове на системи (ред тийм операции). Софтуерът използва полиморфни техники и динамична runtime защита, включително:

• Заобикаляне на AMSI и ETW;

• Избягване на анти-дебъг и виртуална среда;

• Механизми против hook-ване на call stack и модули.

В ръцете на професионалисти, Shellter е инструмент за подобряване на сигурността. Но в ръцете на злонамерени лица – той може да бъде оръжие за скрито внедряване на зловреден код.

Инцидентът

През април 2024 г. Elastic Security Labs засичат Shellter Elite v11.0 в употреба от множество злонамерени групи, включително при разпространение на Rhadamanthys, Lumma и Arechclient2 чрез фишинг кампании и линкове в YouTube коментари. Анализът им показал, че всички заплахи произлизат от едно и също лицензирано копие, което по-късно Shellter официално потвърди като изтекло от конкретен клиент.

Shellter реагира с пускането на нова версия (v11.1), достъпна само за строго проверени клиенти, като бившият клиент, отговорен за теча, е изключен завинаги.

Критика към Elastic

Въпреки че изследванията на Elastic изиграват роля в разкриването на инцидента, Shellter остро критикува компанията за липсата на директна комуникация:

„Elastic знаеха за злоупотребата месеци наред, но не ни уведомиха. Вместо да работим заедно по ограничаване на риска, те избраха да публикуват материал без предупреждение, поставяйки медийния ефект над сигурността“ – посочват от Shellter.

По-късно Elastic предава на Shellter нужните проби, които позволяват идентифициране на клиента, извършил нарушението.

Последици и мерки

Shellter подчерта, че не работи с киберпрестъпници и е готов да съдейства на правоохранителните органи. Компанията се извини на всички лоялни клиенти и заяви, че това е първият подобен случай, откакто през 2023 г. въведе строг лицензионен режим.