• Добро пожаловать в Пиратскую Бухту! Чтобы получить полный доступ к форуму пройдите регистрацию!
  • Гость, стой!

    В бухте очень не любят флуд и сообщения без смысловой нагрузки!
    Чтобы не получить бан, изучи правила форума!

    Если хотите поблагодарить автора темы, или оценить реплику пользователя, для этого есть кнопки: "Like" и "Дать на чай".

Новости Как DLL-библиотеки используются в атаках киберпреступников

Пригоршня

Штурман
Бродяга
Регистрация
26.10.16
Сообщения
2,233
Онлайн
38д 4ч 33м
Сделки
251
Нарушения
0 / 0
Montserrat Semi-Bold.png

Исследователи из Alto Networks Unit 42 описали , как APT-группы используют DLL-библиотеки для заражения устройств. Эксперты описали атаки APT-групп Stately Taurus (PKPLUG, Mustang Panda) и Evil Corp . Они также рассказали, как идентифицировать атаки с помощью поиска неподписанных DLL-библиотек.
Вредоносные DLL-библиотеки являются распространенным методом, используемый злоумышленниками, для выполнения вредоносных полезных нагрузок в зараженных системах. Большинство вредоносных DLL- библиотек имеют 3 общих характеристики:
  • DLL-библиотеки в основном записываются по непривилегированным путям;
  • DLL-библиотеки не подписаны;
  • Чтобы избежать обнаружения, хакеры загружают DLL-библиотеки с помощью подписанного процесса – утилиты для загрузки DLL-библиотек (например, rundll32.exe) или исполняемого файла, который загружает DLL как часть своей работы.
Анализ атак показал, что наиболее распространенными непривилегированными путями для загрузки вредоносных неподписанных DLL-библиотек являются папки ProgramData, AppData и домашние каталоги пользователей.
В ходе расследования были выявлены различные семейства вредоносных программ, которые использовали загрузку неподписанных DLL в период с января по август 2022 года.
Анализ методов развертывания указанного вредоносного ПО показал, что банковские трояны и отдельные хакеры обычно используют «rundll32.exe» или «regsvr32.exe» для загрузки вредоносной DLL-библиотеки, в то время как APT-группы используют технику боковой загрузки DLL (DLL Sideloading).

Stately Taurus

Stately Taurus — это китайская APT-группа, которая обычно атакует неправительственные организации и использует законное ПО для загрузки полезной нагрузки.
В ходе анализа эксперты выяснили, что группа использует технику перехвата порядка поиска DLL (DLL Hijacking), которая позволяет вредоносной DLL загружаться в пространство памяти легитимного процесса. Хакеры использовали несколько компонентов стороннего ПО для боковой загрузки DLL, например, антивирусное ПО и программу для чтения PDF-файлов.
Для выполнения боковой загрузки DLL, группа поместила полезную нагрузку в папку «ProgramData», которая содержит 3 файла:
  • безопасный EXE-файл для перехвата DLL (AvastSvc.exe);
  • DLL-файл (wsc.dll);
  • зашифрованную полезную нагрузку (AvastAuth.dat).
Загруженная DLL загружает зашифрованную полезную нагрузку из файла .dat, которая является RAT-трояном PlugX RAT .

Raspberry Robin (Evil Corp называют самой вредоносной и самой наглой группировкой среди киберпреступников. За сведения о ее членах американское правительство назначило награду в $5 млн., а СМИ обсуждают слухи об их возможных связях с российскими спецслужбами.)

Действия по загрузке DLL, которые происходят в этих атаках, были приписаны кампании Raspberry Robin .
Атака начинается с файла ярлыка на зараженном USB-устройстве, который запускает исполняемый файл «msiexec.exe» для извлечения вредоносной DLL с удаленного C&C сервера. Во время установки создается запланированная задача для обеспечения устойчивости, загружающая DLL с помощью «rundll32.exe/regsvr32.exe» при запуске системы.
Специалисты Unit 42 сказали, что вы можете самостоятельно выявить загрузку неподписанных DLL-библиотек. Нужно сосредоточиться на следующем:
  • В случае боковой загрузки DLL следует обратить внимание на известное стороннее ПО, размещенное в нестандартных каталогах;
  • Энтропия файла — двоичные файлы с высоким значением энтропии могут содержать упакованный раздел, который будет извлечен во время выполнения;
  • Частота выполнения — результаты с высокой частотой могут указывать на законную деятельность, которая происходит периодически, а результаты с низкой частотой могут быть вредоносными;
  • Путь к файлу — обращайте внимание на результаты, содержащие папки или файлы с зашифрованными именами.
 
Сверху