Hackerii chinezi folosesc noul malware Tarrask pentru a asigura persistența în sistem
Grupul APT Hafnium, legat de China, a început să folosească noul malware Tarrask pentru a asigura persistența pe sistemele Windows compromise, in conformitate la Centrul de informații despre amenințări Microsoft (MSTIC).
hafniu vizează în primul rând organizațiile din SUA, inclusiv centrele de cercetare a bolilor infectioase, firme de avocatura, institutii de invatamant superior, antreprenori de apărare, academicieni, și organizații neguvernamentale. Atacurile sunt efectuate prin exploatarea vulnerabilităților din serverele accesibile pe web, și cadre legitime open-source, cum ar fi Legământ sunt folosite pentru a controla programele malware.
La fel de MSTIC explicat, pentru a asigura persistența pe sistem, Ţipăt creează sarcini programate ascunse și chei noi pentru acestea:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\TASK_NAME
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{GUID}
În atacul studiat de Microsoft, atacatorii au creat o sarcină WinUpdate programată prin HackTool:Win64/Tarrask pentru a restabili o conexiune întreruptă la C&servere C. Au eliminat descriptorul de securitate (SD) valoarea din registrul arborelui. SD-ul definește controalele de acces pentru rularea unei sarcini programate.
Linia de jos este să ștergeți valoarea SD din directorul Tree, apoi sarcina va fi ascunsă din Windows Task Scheduler și din utilitarul de linie de comandă schtasks. Singura modalitate de a descoperi această activitate este să verificați manual Editorul de registru.
Permiteți-mi să vă reamintesc că și noi am scris asta Hackerii chinezi își acoperă urmele și elimină programele malware cu câteva zile înainte de detectare, și de asemenea că Autoritățile chineze au arestat autorii documentului Rețeaua botnet cinematografică.
