Chinese hackers use the new Tarrask malware to ensure persistence on the system

The China-linked APT group Hafnium has begun using the new Tarrask malware to ensure persistence on compromised Windows systems, according to the Microsoft Threat Intelligence Center (MSTIC).

Hafnium primarily targets organizations in the US, including infectious disease research centres, law firms, higher education institutions, defence contractors, academics, and non-governmental organizations. Attacks are carried out by exploiting vulnerabilities in web-accessible servers, and legitimate open-source frameworks like Covenant are used to control malware.

As MSTIC explained, in order to ensure persistence on the system, Tarrask creates hidden scheduled tasks and new keys for them:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\TASK_NAME

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{GUID}

The first subkey created in the Tree directory matches the name of the scheduled task. The values created in it (Id, Index and SD) contain metadata for registering the task in the system. The second subkey, created in the Tasks directory, is a mapping of the GUID to the ID value found in the Tree key. The values created in Actions, Path, Triggers, முதலியன. contain the basic parameters needed to make the task easier.the experts said.

In the attack studied by Microsoft, the attackers created a scheduled WinUpdate task via HackTool:Win64/Tarrask to re-establish an interrupted connection to C&C servers. They removed the Security Descriptor (SD) value from the Tree registry. The SD defines the access controls for running a scheduled task.

The bottom line is to erase the SD value from the Tree directory, then the task will be hidden from the Windows Task Scheduler and the schtasks command line utility. The only way to discover this activity is to manually check the Registry Editor.

Experts noted that running the reg delete command to remove the SD value will result in anAccess Deniederror even when run from an elevated command prompt. The only way to remove the SD value is to run the command in the context of the SYSTEM user. For this reason, Tarrask malware used token stealing to obtain security permissions associated with the lsass.exe process.

Let me remind you that we also wrote that Chinese hackers cover their tracks and remove malware a few days before detection, and also that Chinese authorities have arrested the authors of the Mozi botnet.

ஹெல்கா ஸ்மித்

நான் எப்போதும் கணினி அறிவியலில் ஆர்வமாக இருந்தேன், குறிப்பாக தரவு பாதுகாப்பு மற்றும் தீம், இது இன்று அழைக்கப்படுகிறது "தரவு அறிவியல்", என் இளமை பருவத்தில் இருந்து. வைரஸ் அகற்றும் குழுவில் தலைமை ஆசிரியராக வருவதற்கு முன், நான் பல நிறுவனங்களில் சைபர் பாதுகாப்பு நிபுணராக பணிபுரிந்தேன், அமேசான் ஒப்பந்ததாரர்களில் ஒருவர் உட்பட. இன்னொரு அனுபவம்: எனக்கு Arden மற்றும் Reading பல்கலைக்கழகங்களில் கற்பித்தல் உள்ளது.

ஒரு பதிலை விடுங்கள்

ஸ்பேமைக் குறைக்க இந்தத் தளம் Akismet ஐப் பயன்படுத்துகிறது. உங்கள் கருத்துத் தரவு எவ்வாறு செயலாக்கப்படுகிறது என்பதை அறிக.

மேலே பொத்தானுக்குத் திரும்பு