По информации Symantec, с марта 2022 года кибершпионская группа Billbug (она же Thrip, Lotus Blossom, Spring Dragon) нацелилась на центр сертификации, правительственные учреждения и оборонные организации сразу в нескольких странах Азии.
Считается, что хак-группа Billbug существует с 2009 года и основном атакует организации в Юго-Восточной Азии и США, и специализируется на шпионаже и краже данных.
Специалисты Symantec рассказывают, что теперь группировка Billbug, за которой они наблюдают с 2018 года, нацелилась на неназванный центр сертификации, что позволило бы хакерам развернуть подписанное вредоносное ПО, затруднить обнаружение и расшифровку HTTPS-трафика.
При этом у компании нет никаких доказательств того, что злоумышленникам все же удалось скомпрометировать цифровые сертификаты. По итогам наблюдений о происходящем уже уведомили соответствующие органы.
Аналитики пишут, что им не удалось определить, как Billbug получает первоначальный доступ к целевым сетям, но предполагается, что это происходит через эксплуатацию известных уязвимостей в различных приложениях, доступных через интернет.
Как и в предыдущих кампаниях, хакеры используют инструменты, уже присутствующие в целевой системе, общедоступные утилиты, а также кастомную малварь:
- AdFind;
- Winmail;
- WinRAR;
- Ping;
- Tracert;
- Route;
- NBTscan;
- Certutil;
- Port Scanner.
Эти инструменты помогают атакующим имитировать безобидную повседневную деятельность, избегать оставления следов в логах, а также избегать внимания защитных механизмов и продуктов.
Исследователи говорят, что новые атаки удалось связать с Billbug, так как злоумышленники применили в рамках этой кампании два кастомных бэкдора, уже известных экспертам по прошлым атака группировки: Hannotog и Sagerunex.
Среди функций Hannotog: изменение настроек брандмауэра для разрешения любого трафика, создание устойчивого присутствия в системе, загрузка зашифрованных данных, выполнение команд CMD и загрузка файлов на устройство жертвы.
Sagerunex, в свою очередь, загружается в систему Hannotog и внедряется в процесс explorer.exe. Затем он записывает логи во временный локальный файл, зашифрованный с помощью AES (256-бит). Конфигурация и состояние бэкдора хранятся локально и шифруются с помощью RC4, а ключи для обеих программ жестко закодированы в самой малвари.
«Способность этой группировки нацеливаться сразу нескольких жертв указывает на то, что Billbug остается опытным оператором с хорошими ресурсами, способным проводить устойчивые и широкомасштабные кампании. Похоже, Billbug не смущает даже возможность того, что эта деятельность в итоге будет связана с ними, поскольку они продолжают повторно использовать инструменты, который ранее уже связывали с их атаками», — заключают эксперты.
