Исследователи из Trend Micro обнаружили новый мультиплатформенный бэкдор под названием KTLVdoor, разработанный на языке Golang и предназначенный для работы как в среде Microsoft Windows, так и в Linux.
KTLVdoor
Эта вредоносная программа, приписываемая Trend Micro китайскоязычному злоумышленнику Earth Lusca, сильно обфусцирована и использует названия легитимных системных утилит, таких как sshd, java и bash, чтобы избежать обнаружения. KTLVdoor позволяет злоумышленникам полностью контролировать зараженные системы, выполнять удаленные команды, манипулировать файлами и проводить сканирование портов. Для усложнения анализа в его конфигурации используются специальные методы шифрования, а для управления командами и сетевыми соединениями применяется уникальный TLV-подобный формат. Более 50 командно-контрольных (C&C) серверов, связанных с этой кампанией, были размещены в китайской компании Alibaba. Хотя Earth Lusca связана со многими из этих образцов, неясно, принадлежит ли вся инфраструктура исключительно ей или используется совместно с другими китайскоязычными субъектами.
Сложность и масштаб атаки позволяют предположить, что она может быть частью тестирования более масштабной кампании на ранней стадии. Пока что единственной известной целью является торговая компания в Китае, что указывает на сходство с другими китайскоязычными группами, такими как Iron Tiger и Void Arachne, которые ранее уже атаковали китайские организации.
Indicators of Compromise
SHA256
- 01ef286f55d1a15f308f2bed102bec0916d799d8e883a48117cecfe713a74267
- 0b2e9328d82a045ce00f6b1b449ae32d8997f631f691350ea39d85c78eb66216
- 1185fa967aa989d5e072577e493d2b307c48181480129d4c45337da64d5bfd25
- 12435ae8d190c4a0cae64009416f17195dbb7f7ca732b69e6178e9dd4c66fcb2
- 1887185af63849aea9cdd7855b638110447842f178fca9cd81b76c72acd16e68
- 18e2b7df374a838a57ebf3186b13a26e523cf964afde50b7ba765ed4d5509670
- 19f94c523d4488a50584dd3d96500820e4f479cadcef4d14a1dd7cf939cd3154
- 20f09959706797b81b2a4de627c01d0c0d890d142954d455a0e50f7811bdc951
- 3d753a9e8e6ab22a498f7c6702910ea3e77ca8ef524f8435ac4614a9d4cbf345
- 3dcad2fdebd68390ea4a80398593cfc3360ef51291b853cb3e9a607915ec74cb
- 644b88ce37d8ccb9258df6fcd74c6b485323dcfd9feb0f961252e6c311241703
- 6eec892054e6cb1addbde2fa92d3ccb5d56d37aa992f81f9106aaf124b9d3525
- 7ff329e0a20a96dd4d0e8b42a216ade348161566250b7e39e166031c881f34d0
- 99027cf9f6fcce91d1d08a8cc15043912e51aff82804d4678c7b453e55899404
- 9ceb37c55a1e55afe50e2b892d3756e5c89ee71131245f5da72c1b8dd0005b99
- a133b1839bad5616b51915f2dfe420be36e05ee5c5f1c8e81220177b14c12848
- aa5ff64cadabd2d8aba7963c2372270bbfdafa155f85a9a9ec2b57674cf8173e
- aa7bc130c5340364f61074f7c98651e80db3b08396a4fb449f614e0889acfdd3
- b66dab4fbdae54eea59313fd218abc96a54c0bbf0ab774dbe8776de9322510b2
- c0b1deaa2598936c284684b50a652f98771a129e882f382ac011d5ab984fd132
- c75c5d7b4bdedcf5c6e78305d62f6830f4766c4517cf650a36493e19574c507d
- d095e636400ee633ae22488bba77d53f584f1ff279fd604bb6e60c0211d1957e
- d18019064e5903dcf7c29921c10a7a90176cccd55d9cf3ba1e3e9805c1364df1
- d72ea22e6f35e848a2e5870863e410f0434013ad43c3f5b6935168fc07c7d7b0
- dc4277e5f6e76ef3f5c0da8a6703acd69a017747aac0413f7248911e51214641
- fcf0cf8a19fa16792771310462d36f3c059ed7d36ef90899316313f4626d24d7
- fd3205edef38248c059898274f5818abbcb757adb707ca47580d4b16772a38d1
