A kínai hackerek az új Tarrask kártevőt használják a rendszer fennmaradásának biztosítására
A Kínához köthető APT csoport, a Hafnium elkezdte használni az új Tarrask kártevőt, hogy biztosítsa a fennmaradást a feltört Windows rendszereken., szerint a Microsoft Threat Intelligence Centerhez (MSTIC).
Hafnium elsősorban az USA-beli szervezeteket célozza meg, beleértve a fertőző betegségek kutatóközpontjait is, ügyvédi irodák, felsőoktatási intézmények, védelmi vállalkozók, akadémikusok, és nem kormányzati szervezetek. A támadások a web-elérhető szerverek sebezhetőségeinek kihasználásával valósulnak meg, és legitim nyílt forráskódú keretrendszerek, mint pl Szövetség rosszindulatú programok ellenőrzésére szolgálnak.
Mint MSTIC magyarázta, a rendszer tartósságának biztosítása érdekében, Sikoly rejtett ütemezett feladatokat és új kulcsokat hoz létre hozzájuk:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\TASK_NAME
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{GUID}
által vizsgált támadásban Microsoft, a támadók ütemezett WinUpdate feladatot hoztak létre a HackTool segítségével:Win64/Tarrask a megszakadt kapcsolat helyreállításához a C-vel&C szerverek. Eltávolították a Biztonsági Leírót (SD) értékét a Tree nyilvántartásból. Az SD meghatározza az ütemezett feladat futtatásához szükséges hozzáférés-vezérlőket.
A lényeg az SD érték törlése a Fa könyvtárból, akkor a feladat el lesz rejtve a Windows Task Scheduler és a schtasks parancssori segédprogram elől. A tevékenység felfedezésének egyetlen módja a Rendszerleíróadatbázis-szerkesztő manuális ellenőrzése.
Hadd emlékeztesselek, mi is ezt írtuk A kínai hackerek elfedik a nyomaikat, és néhány nappal az észlelés előtt eltávolítják a rosszindulatú programokat, és azt is A kínai hatóságok letartóztatták a szerzőket Mozi botnet.
