27 de octubre de 2020

Introducción

En julio del año 2020 publicamos una investigación de ataques APT a entidades públicas de Kazajistán y Kirguisia con un análisis detallado del malware detectado en las redes comprometidas. Durante la investigación, los analistas de virus de Doctor Web analizaron y describieron varios grupos de programas troyanos, incluidos los representantes tanto de las familias ya conocidas para los expertos como los troyanos anteriormente desconocidos, de los cuales la novedad más importante fueron las muestras de la familia XPath. También hemos detectado un conjunto de características que permitieron vincular dos incidentes inicialmente autónomos. En ambos casos los malintencionados usaron conjuntos similares del malware, así mismo, los mismos backdoors especializados con los cuales fueron infectados los controladores del dominio en las entidades atacadas.

Durante el peritaje los analistas analizaron las muestras del backdoor multimódulo PlugX aplicados para la penetración primaria en la infraestructura de red. El análisis demostró que algunas modificaciones de PlugX usaron los mismos nombres de dominio de servidores de control que los demás backdoors investigados por nosotros, vinculados a los ataques objetivo a las entidades de Asia Central. Así mismo, la detección de los programas de la familia PlugX significa la posible participación de los grupos chinos APT en los incidentes en cuestión.

Según nuestros datos, la presencia no autorizada en ambas redes continuaba durante más de tres años, y varios grupos de hackers a la vez podían dedicarse a los ataques. Las investigaciones de los ciber incidentes tan complejos requieren trabajo de mucho tiempo, por lo tanto, pocas veces basta con una sola publicación para informar de los mismos.

El laboratorio de virus de Doctor Web recibió nuevas muestras del malware detectado en uno de los equipos infectados de la red local de la entidad pública de Kirguisia.

Además del malware ya descrito en el material anterior, cabe destacar el backdoor ShadowPad. Varias modificaciones de esta familia son una herramienta conocida de Winnti — un grupo APT, supuestamente, de procedencia china, activa como mínimo desde el año 2012. Cabe destacar que en el equipo, junto con ShadowPad, también fue instalado el backdoor Farfli, así mismo, ambos programas contactaban al mismo servidor de control. Además, en el mismo equipo detectamos varias modificaciones de PlugX.

En esta investigación hemos analizado los algoritmos de funcionamiento de los backdoors detectados. Prestamos especial atención a las similitudes del código de muestras ShadowPad y PlugX, así como a algunas similitudes de su infraestructura de red.

Lista del malware detectado

En el equipo infectado fueron detectados los backdoors siguientes:

Para la posterior investigación, detectamos y analizamos otras muestras de la familia ShadowPad, para ver con más detalle las similitudes de los backdoors de las familias ShadowPad y PlugX:

• BackDoor.ShadowPad.3,
• BackDoor.ShadowPad.4 — modificación de ShadowPad que formaba parte de un dropper WinRAR de descompresión automática y cargaba un módulo no típico para esta familia, una biblioteca DLL.

La investigación detallada de las muestras ShadowPad y su comparación a las modificaciones de PlugX anteriormente analizadas por nosotros indica una alta similitud de principios de funcionamiento y de estructuras modulares de backdoors de ambas familias. Estos representantes de malware tienen en común no solo la concepción general, sino los detalles del código: algunas características de desarrollo, las ideas y las soluciones técnicas son casi idénticas. Un factor importante es que ambos backdoors estaban en la red comprometida de una entidad pública de Kirguisia.

Las descripciones técnicas detalladas del malware detectado pueden consultarse en la versión PDF de la investigación y en la biblioteca de virus Dr.Web.

• BackDoor.ShadowPad.1
• BackDoor.ShadowPad.3
• BackDoor.ShadowPad.4
• BackDoor.Farfli.122
• BackDoor.Farfli.125
• BackDoor.Siggen2.3243

Conclusión

Los datos existentes nos permiten sacar conclusiones sobre los vínculos de estas familias, así mismo, es posible tanto el simple uso del código existente, como el desarrollo de ambos programas por el mismo autor o un grupo de autores. En el segundo caso, es muy probable la evolución de PlugX hasta ShadowPad más nuevo y perfecto, porque el formato de almacenamiento de los módulos maliciosos aplicado en el último dificulta muchas veces la posibilidad de su detección en la memoria operativa.

Indicadores del compromiso