Iraanse APT OilRig gebruikt nieuwe Saitama-achterdeur
Eind april 2022, Beveiligingsonderzoekers van Fortinet en Malwarebytes ontdekten een kwaadaardig Excel-document verzonden door de hackergroep OilRig (ook bekend als APT34, Helix-katje, en kobaltzigeuner) aan een Jordaanse diplomaat om een nieuwe achterdeur te injecteren genaamd Saitama.
De phishingmail was afkomstig van een hacker, vermomd als medewerker van de IT-afdeling van het Ministerie van Buitenlandse Zaken. De aanval werd ontdekt nadat de ontvanger de e-mail had doorgestuurd naar een echte IT-medewerker om de authenticiteit van de e-mail te verifiëren.
Volgens onderzoeksnotities mits van Fortinet, de macro gebruikt WMI (Windows-beheerinstrumentatie) om zijn commando en controle te ondervragen (C&C) server en kan drie bestanden produceren: een kwaadaardig PE-bestand, een configuratiebestand, en een legitiem DLL-bestand. Geschreven in .NET, de Saitama backdoor gebruikt het DNS-protocol om met C te communiceren&C en exfiltreer gegevens, wat de meest onopvallende communicatiemethode is. Er worden ook methoden gebruikt om kwaadaardige pakketten in legitiem verkeer te maskeren.
Laat me je eraan herinneren dat we dat ook hebben gemeld Platformonafhankelijk Linux en macOS als onderdeel van een cyberspioncampagne achterdeuraanvallen op Windows, macOS en Linux en dat Hackers sturen cv's met more_eggs-malware naar recruiters.
Malwarebytes publiceerde ook een afzonderlijk achterdeurrapport, waarbij wordt opgemerkt dat de gehele programmastroom expliciet wordt gedefinieerd als a staatsmachine. In eenvoudige woorden, de machine zal zijn status veranderen afhankelijk van de opdracht die naar elke staat wordt verzonden.
Staten omvatten:
- De initiële status waarin de achterdeur het startcommando ontvangt;
- “Live” staat, waarin de achterdeur aansluit op de C&C-server, wachten op een commando;
- Slaapmodus;
- Ontvangende staat, waarin de achterdeur opdrachten van de C accepteert&C-server;
- Operationele status waarin de achterdeur opdrachten uitvoert;
- Inzendingsstatus, waarin de resultaten van de opdrachtuitvoering naar aanvallers worden verzonden.
