Компания Volexity обнаружила уязвимость нулевого дня в Fortinet FortiClient VPN для Windows, позволяющую учетным данным оставаться в памяти после аутентификации. Этот недостаток был использован китайской государственной группировкой BrazenBamboo с помощью своего вредоносного ПО DEEPDATA - модульного инструмента, предназначенного для сбора данных после эксплуатации.
BrazenBamboo APT
DEEPDATA включает в себя плагины для извлечения конфиденциальных данных, таких как учетные данные VPN, данные социальных сетей, информация о браузере и ключи WiFi. Его плагин FortiClient примечателен тем, что нацелен именно на VPN-клиент, извлекая имена пользователей, пароли и другие данные о сеансах. Volexity отмечает, что Blackberry, а также другие компании, занимающиеся безопасностью, освещали различные аспекты использования DEEPDATA. Blackberry сообщает, что активность приписывается APT41, агенту, отслеживаемому Microsoft как Brass Typhoon.
BrazenBamboo, известная разработкой семейства вредоносных программ LIGHTSPY, расширила свою деятельность за счет Windows-варианта LIGHTSPY и DEEPDATA. Семейства вредоносных программ этой группы имеют значительные совпадения, включая инфраструктуру и методологии кодирования, что позволяет отнести их к одной организации. Варианты LIGHTSPY для различных операционных систем демонстрируют мультиплатформенные возможности группы, причем в версиях для Windows используются передовые методы кодирования и исполнение с сохранением в памяти.
Вредоносная программа DEEPPOST дополняет DEEPDATA, фокусируясь на утечке данных. Оба инструмента используют сложные C2-инфраструктуры с совпадениями в сертификатах TLS и шаблонах URL. По мнению компании Volexity, более широкая деятельность BrazenBamboo, включая инструменты для внутреннего наблюдения, указывает на то, что она связана с правительственными операциями.
Indicators of Compromise
IPv4
- 103.27.108.152
- 103.27.108.205
- 103.27.108.207
- 103.27.109.217
- 103.27.109.28
- 103.27.110.159
- 103.43.17.99
- 103.43.18.22
- 103.43.18.95
- 103.43.19.245
- 103.43.19.64
- 118.195.234.243
- 119.147.213.48
- 121.201.109.98
- 124.156.48.83
- 154.91.196.185
- 202.43.239.13
- 203.83.9.60
- 203.83.9.62
- 222.219.183.84
- 27.124.37.30
- 27.124.37.59
- 27.124.37.64
- 38.55.97.178
- 43.248.136.110
- 43.248.136.215
- 43.248.136.241
- 45.125.34.126
- 45.155.220.194
- 45.155.220.79
- 47.236.30.141
- 47.238.153.120
- 47.238.155.170
- 49.232.185.137
- 58.221.58.240
SHA256
- 035db9a3bc9bfba542583c9350baa39741018127a27e7e3ebb6e9f50ddb96f41
- 041c13a29d3bee8d2e4bd9d8bde8152b5ac8305c1efcc198244b224e33635282
- 08e0ed3c9a4c04a4cb83e17f14a4959236dda048336c04e30ab7786b5bf8ffa7
- 0b8c9d991162efca3c34d3d97b79f8edfd45ec3e052c4fef080523bacd586d11
- 0c4ebc3d96911af9878343ee8dcba7f79a64cf86ae9b8e6cdc7bbb100177b9af
- 0f662991dbd0568fc073b592f46e60b081eedf0c18313f2c3789e8e3f7cb8144
- 0f66a4daba647486d2c9d838592cba298df2dbf38f2008b6571af8a562bc306c
- 151edcd7d877048d5e8fce9919477cbe5c2de4bd65cd46aa228528dd00360db1
- 18bad57109ac9be968280ea27ae3112858e8bc18c3aec02565f4c199a7295f3a
- 1bfb7c520335f96c1b268bd9e59688fca49e67e5785aa2a5a3bb281484318101
- 205e62b04478c0ef69d69970716e5cb9e5d03293157733194d95ea801df3726c
- 213520170fc7113ac8f5e689f154f5c8074dd972584b56d820c19d84b7e5b477
- 2b4fbd5aa06f70d84091d2f7cca4bd582237f1a1084835c3c031a718b6e283f9
- 2bfb82a43bb77127965a4011a87de845242b1fb98fd09085885be219e0499073
- 37c74a4a8bbe272da16f956eea69f0dcbf0caeb0d3da72d084502499c124b879
- 3d6ef4d88d3d132b1e479cf211c9f8422997bfcaa72e55e9cc5d985fd2939e6d
- 3d9f8e1e84e9cfc742bc51742863a325eda1ea459ed6a6a5b2c47710fc171848
- 424aaacf3444fe51b9865af3079777a977111cab9a329494f1f12c0a48dbffa7
- 4511567b33915a4c8972ef16e5d7de89de5c6dffe18231528a1d93bfc9acc59f
- 460f1a00002e1c713a7753293b4737e65d27d0b65667b109d66afca873c23894
- 4cbc692e0c914e235b92c55e910c818ec014461462736c56e5328dbcb9971756
- 51b83c5732fbfc8da9d333e7daea85725c04f241f27648708d326077a4556717
- 55e2dbb906697dd1aff87ccf275efd06ee5e43bb21ea7865aef59513a858cf9f
- 5d39dd90ee6e01afbe070030d863385adf5976752274f95f936c1b6241f78d6a
- 5fb67d42575151dd2a04d7dda7bd9331651c270d0f4426acd422b26a711156b5
- 65aa91d8ae68e64607652cad89dab3273cf5cd3551c2c1fda2a7b90aed2b3883
- 666a4c569d435d0e6bf9fa4d337d1bf014952b42cc6d20e797db6c9df92dd724
- 7008e312446919cceb73db951af89602aaa9312c0c793b9bbb2e1a306f84d82f
- 724351b5cc9ad496a6c9486b8ef34772f640590a90293f913f005e994717134b
- 72bfd0f5299809c66a1fea743d5bd6559d031052bc31ced95884aeb860f318a1
- 742fd59971ac576e579a45d8f2d4165c4c18b08685880fd457be1651523b5da4
- 75dadf4ead9e1b3ad73fb135a5950534d0a9e58bdb4c6f2dbd4ca8b7f66b4a56
- 765ef96d1f46aca2c2b816f92e57b92ba8126a601e76a9377d742eb6bb2d95ef
- 7d4c9e9b73f74426a975a5f8584059e8c8ca24418e7994ec83ef735c84cf2d31
- 80c0cdb1db961c76de7e4efb6aced8a52cd0e34178660ef34c128be5f0d587df
- 83c610c4a56aa15a2220d2c3b05e0ff073f6ffb97f892118ae10c03b1bee35b0
- 84edc435eac5543a01c5aa1391e73e5dfe49f6b6fd577750204d514f1caaa9b4
- 87daf1ee49925271f0f3b2f5671ef028d9e6b79d487a68b879103a752d6fdb7f
- 87f9766eb91e966a7599f65d16a696fea6452383d298be65635e63dfac226976
- 88e5ca44189dabb4cec8a183f6268a42f3f92b2c6d7c722d7f55efd3dc5334c8
- 91b3e5e9ea4b1d7dc188dec0b28afa53f1048b4162ec9dbd60a458b650410585
- a560931baa404189257ec9cbcc2b9449c579018218cc1d70c99b1d36dd292a0e
- ac6d34f09fcac49c203e860da00bbbe97290d5466295ab0650265be242d692a6
- ac7e20d4ddccc5e249ff0c1a72e394f9c1667a896995cf55b97b4f9fbf5de2fd
- af0de88e8b17d628b354b5586da7718b06755d88ddde8c933c8606018e5ed7ff
- b208b73d003a8ee0eb24ce09f7ff515e18229d1836c43159a8e1821615aab19c
- b523cdd1669dbd7ab68b43fd20f30a790ec0351876a0610958b9405468753a10
- be02ce6964d1a10b48897466846e0889c7cf54bdf34133f52bc9226fefb31548
- c3995f28476f7a775f4c1e8be47c64a300e0f16535dc5ed665ba796f05f19f73
- c782346bf9e5c08a0c43a85d4991f26b0b3c99c054fa83beb4a9e406906f011e
- d2ccbf41552299b24f186f905c846fb20b9f76ed94773677703f75189b838f63
- d4aea0bbfe5b309f2464fef8ebb44dd514f8162d41be53b423c64b4acb4a5ee6
- d804e5cde29c10fa3ca56386c147706d9501b6c2fb73f8fd329a24b9acb4c4e0
- dab112f7c765a375f0f12313d1b1e3cf14963113cf7b6f101ba5192a0c3874de
- dbf0ee5e96b418bb6237772262701baf213bf60ede3ed7d90c126117097aa3ec
- e5f0022cd79fad21c760a57fedff48e559aaf80ac0e8bbf44401b465654aba02
- ea2c0cbd35465dad118d69fdbf37ecfb9b0eca461e9854d2790dd98201af6dc4
- ee7c3e2352a4e7bf37e3d76972de1ba493c0be26832cae5978c134155ac7835b
- efff4106cfd21a356b13a5a99c626a4f103f03b9491c0f1f5e135c1e3c84e76c
- fc1c30f6f23a303944d8d04c6c0a7f21b137f70f60ce4f03b2e930f3e98a91da
- fc7e77a56772d5ff644da143718ee7dbaf7a1da37cceb446580cd5efb96a9835
- fd261e970d01f0f123e32baf02f5f32edd0db1ee3ffc6c44d18565ecf1194630