Kínverskir tölvuþrjótar nota nýja Tarrask spilliforritið til að tryggja þrautseigju á kerfinu
Kínverska APT hópurinn Hafnium hefur byrjað að nota nýja Tarrask spilliforritið til að tryggja þrautseigju á Windows kerfum sem eru í hættu, skv til Microsoft Threat Intelligence Center (MSTIC).
Hafnium beinist fyrst og fremst að stofnunum í Bandaríkjunum, þar á meðal smitsjúkdómarannsóknastöðvar, lögmannsstofum, æðri menntastofnanir, varnarverktaka, fræðimenn, og frjáls félagasamtök. Árásir eru gerðar með því að nýta veikleika á netaðgengilegum netþjónum, og lögmætum opnum ramma eins og Sáttmáli eru notuð til að stjórna spilliforritum.
Sem MSTIC útskýrði, í því skyni að tryggja viðnám á kerfinu, Öskra býr til falin áætlunarverkefni og nýja lykla fyrir þau:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\TASK_NAME
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{GUID}
Í árásinni rannsakað af Microsoft, árásarmennirnir bjuggu til áætlað WinUpdate verkefni í gegnum HackTool:Win64/Tarrask til að koma aftur á trufluðri tengingu við C&C netþjóna. Þeir fjarlægðu öryggislýsinguna (SD) verðmæti úr tréskránni. SD skilgreinir aðgangsstýringar til að keyra áætlað verkefni.
Niðurstaðan er að eyða SD gildinu úr Tree skránni, þá verður verkefnið falið frá Windows Task Scheduler og schtasks skipanalínuforritinu. Eina leiðin til að uppgötva þessa starfsemi er að athuga handvirkt í Registry Editor.
Ég minni á að við skrifuðum það líka Kínverskir tölvuþrjótar hylja slóð sína og fjarlægja spilliforrit nokkrum dögum áður en þeir uppgötvast, og líka það Kínversk yfirvöld hafa handtekið höfunda Botnet kvikmyndahúss.
