Новый fileless-фреймворк от китайских APT для взлома военных систем 🎹

Тут Bitdefender опубликовал разбор fileless-фреймворка EggStreme, который используется китайской APT-группировкой для атаки на филиппинскую военную компанию. Выглядит как хорошо продуманный, многокомпонентный инструментарий для незаметного и долгосрочного шпионажа.

Атака начинается с загрузчика EggStremeFuel (mscorsvc.dll), который проводит базовую разведку, устанавливает персистентность через EggStremeLoader и затем, через еще один загрузчик, инжектит в память основной пейлоад EggStremeAgent. Этот агент, который в Bitdefender назвали центральной нервной системой фреймворка, он является полнофункциональным бэкдором. Он мониторит новые пользовательские сессии и для каждой инжектит в память кейлоггер EggStremeKeylogger для сбора нажатий клавиш.

Для связи с C2-сервером EggStremeAgent использует протокол gRPC (Google Remote Procedure Call) и поддерживает 58 команд. Функционал красивый и классический, тут разведка систем и сетей, эскалация привилегий, выполнение произвольного шеллкода и кража данных. Для закрепления в сети и бокового перемещения атакующие используют прокси-утилиту Stowaway и вспомогательный имплант EggStremeWizard (xwizards.dll), который загружается через DLL side-loading - запуск легитимного бинарника, который подгружает вредоносную DLL.

Главная особенность EggStreme в его полностью бесфайловой природе. Весь вредоносный код выполняется непосредственно в оперативной памяти, не оставляя на диске никаких следов, что делает его обнаружение стандартными антивирусами крайне сложной задачей. Это, в сочетании с многоэтапной загрузкой и активным использованием DLL side-loading, позволяет ему работать с очень низким профилем шума.

З.Ы. Использовать gRPC для связи с C2 разумная идея. Трафик выглядит как легитимное общение с сервисами Google. Файрвол будет думать, что это просто очередной protobuf полетел, а на самом деле это ваши пароли улетают 🎩

Типичный 🥸 Сисадмин