Zaawansowane Stałe Zagrożenie (APT) to rodzaj cyberataku prowadzonego przez wysoce wykwalifikowanych i zdeterminowanych hakerów, którzy mają zasoby i wiedzę, aby przeniknąć do sieci celu i utrzymać długotrwałą obecność niezauważoną.
Grupy APT coraz częściej nadużywają niedoskonałych procesów weryfikacji w celu uzyskania podpisu sterownika. Podpisane sterowniki, zwykle wydawane przez renomowanych dostawców, są uznawane za bezpieczne i uprawnione do użytku w systemie operacyjnym. APT-y, podważając to zaufanie, nie tylko omijają mechanizmy wykrywania, ale także uzyskują dyskretne i uprzywilejowane dostęp do ukierunkowanego systemu, skutecznie unieważniając tradycyjne protokoły bezpieczeństwa. To śmiałe podejście kwestionuje samą podstawę cyberbezpieczeństwa, podkreślając potrzebę ciągłej innowacji i czujności w obronie przed ewoluującymi zagrożeniami APT.
Na początku czerwca 2023 roku odkryliśmy nieznane sterowniki podpisane przez Microsoft. Te podpisane sterowniki zostały rozpowszechnione przez sygnowany binarny plik NSecRTS.exe, przypisywany Shandong Anzai Information Technology Co., Ltd. Warto zauważyć, że NSecRTS jest uznawany za regularne oprogramowanie monitorujące i został wspomniany przez QiAnXin Virus Response Center.
Ponadto zidentyfikowaliśmy, że NSecRTS.exe zrzucał sterownik podpisany przez Microsoft. Po przeprowadzeniu obszernego dochodzenia odkryliśmy wiele złośliwych działań związanych z tym sterownikiem. Jednym z nich było wstrzyknięcie niestandardowego RATa w legalne procesy.
Nasze obserwacje pozwoliły nam zidentyfikować ofiary na Filipinach i w Tajlandii. Pomimo zebrania obszernych informacji, nie byliśmy w stanie ostatecznie przypisać ataków do konkretnej jednostki.
Aktywne konflikty geopolityczne często przyciągają uwagę grup APT ze względu na ich niestabilną i chaotyczną naturę. Te grupy, które często są sponsorowane przez państwa i wysoko zorganizowane, widzą konflikty jako okazję do wykorzystania niestabilności dla własnych strategicznych celów. Mgła wojny stanowi wygodne przykrycie dla ich działań, pozwalając im wykorzystać chaos do dalszego realizowania swoich celów, czy to politycznych, ekonomicznych czy militarnych. Godne uwagi jest, że grupy APT nadal wykorzystują trwającą wojnę na Ukrainie, a dodatkowe konflikty, takie jak ten w Górskim Karabachu, pojawiły się na ich radarze.
Jednym z głównych wektorów infekcji dla grup APT w tym kwartale był CVE-2023-38831, który jest podatnością w WinRAR, pozwalającą atakującemu uruchomić dowolny kod na maszynie ofiary. W wielu przypadkach ofiary otrzymują złośliwe archiwum jako załącznik do wiadomości phishingowej. Po otwarciu archiwum z wersją WinRAR podatną na ataki, ofiara nieświadomie wykonuje złośliwy kod, co może prowadzić do zainfekowania maszyny. Mogliśmy zauważyć, że jest on wykorzystywany przez wielu cyberprzestępców, w tym ataki na ukraińskie instytucje rządowe, wojsko i rządy w krajach takich jak Malezja, Wietnam, Filipiny i inne.
Niezłomne jednostki, takie jak Lazarus, MustangPanda i APT41, nieustannie prowadzą globalne kampanie, konsekwentnie udoskonalając swoje taktyki i rozszerzając swój arsenał malware. Te grupy ciągle eksplorują nowe techniki, wprowadzając świeże narzędzia i włączając języki takie jak Nim i Rust do swoich zestawów narzędzi.
Luigino Camastra, Badacz Malware
Igor Morgenstern, Badacz Malware
