ESET раскрыла Windows-версии бэкдора SprySOCKS от группировки FishMonger

Новые варианты получили внутренние обозначения WIN_DRV и WIN_PLUS. Оба содержат жёстко заданную конфигурацию командного сервера (C&C) и поддерживают связь через протоколы TCP, UDP и WebSocket. Основная функциональность бэкдора включает более 30 команд, среди которых сбор информации о системе, перечисление процессов, управление службами и файловыми операциями - создание, удаление, передача файлов.

Ключевое отличие WIN_DRV - использование драйверов режима ядра. Этот компонент, названный RawWNPF, позволяет скрывать сетевые соединения, процессы, файлы и записи реестра, связанные с вредоносной активностью. Кроме того, драйвер реализует перенаправление TCP-трафика: злоумышленники могут отправлять команды бэкдору через любой открытый TCP-порт на устройстве жертвы, не раскрывая реальный порт прослушивания. Это делает обнаружение бэкдора стандартными сетевыми средствами крайне затруднительным. WIN_PLUS, в свою очередь, лишён драйверной составляющей и полагается на менее скрытные механизмы.

Предоставленный отчёт ESET также указывает на ограниченные признаки возможного использования компонента UEFI bootkit в некоторых сценариях атак FishMonger. В частности, упоминается уязвимость CVE-2023-24932, которая могла быть задействована для закрепления в системе на уровне прошивки. Хотя прямых подтверждений этому пока нет, исследователи рекомендуют внимательно следить за активностью группы.

FishMonger относится к зонтичной структуре Winnti Group и, по данным аналитиков, действует из китайского города Чэнду. Группировка известна под псевдонимами Earth Lusca, TAG-22, Aquatic Panda и Red Dev 10. Её инструментарий включает ShadowPad, Spyder, Cobalt Strike, FunnySwitch, SprySOCKS и BIOPASS RAT. Ранее FishMonger активно атаковала университеты Гонконга в 2019 году, а также проводила watering-hole атаки, о чём сообщали Trend Micro.

Windows-варианты SprySOCKS в целом сохранили архитектуру Linux-версии, включая формат сообщений C&C, алгоритмы шифрования и использование статически связанной сетевой библиотеки HP-Socket. Однако разработчики заменили Linux-специфичные механизмы на Windows-совместимые и добавили драйвер для повышения скрытности. Так, в версии WIN_DRV бэкдор загружается через подгрузку DLL (DLL side-loading) с использованием легитимного исполняемого файла ThinPrint AutoConnect. Процесс установки включает батник, который копирует файлы в каталог SystemRoot\Fonts и создаёт задачу в планировщике Windows с привилегиями SYSTEM. Затем загрузчик проверяет наличие сред виртуализации и защитных продуктов, после чего расшифровывает полезную нагрузку и внедряет её в процесс svchost.exe через технику process doppelgänging.

Драйвер RawWNPF, отвечающий за скрытность, сам загружается в память без записи на диск. Он перехватывает системный вызов NtQuerySystemInformation для сокрытия процессов, модифицирует обработчик IOCTL драйвера nsiproxy.sys для фильтрации сетевых соединений, а также регистрирует себя в качестве minifilter-драйвера для сокрытия файлов. Для перенаправления трафика драйвер использует Windows Filtering Platform (WFP), проверяя входящие и исходящие IPv4-пакеты на наличие специальной сигнатуры. При обнаружении такой сигнатуры пакет перенаправляется на порт, где слушает бэкдор.

Версия WIN_PLUS не использует драйвер, но также обеспечивает перенаправление трафика через стандартные средства Windows. Она распространяется в виде зашифрованного контейнера, который загружается как принт-процессор в спулере печати. Это позволяет маскировать активность под легитимные операции печати. В телеметрии ESET первый такой случай обнаружен в июле 2024 года на устройстве жертвы в Пакистане.

Оба варианта бэкдора поддерживают клавиатурный шпион, который активируется при наличии конфигурационного INI-файла с определённым значением. Кейлоггер записывает нажатия клавиш, активное окно и данные буфера обмена в зашифрованный файл. Сетевой трафик шифруется с использованием AES-128 в режиме ECB, а перед передачей добавляется заголовок с контрольной суммой и магическими значениями, уникальными для каждого протокола связи.

Обнаружение Windows-версий SprySOCKS свидетельствует о целенаправленном расширении платформенного охвата FishMonger. Особую угрозу представляет версия WIN_DRV с драйвером ядра, которая позволяет злоумышленникам длительное время оставаться незамеченными в инфраструктуре жертвы. Учитывая ограниченные признаки использования UEFI bootkit, а также историю атак этого APT-актора на правительственные организации, эксперты рекомендуют усилить мониторинг на предмет подозрительных драйверов и нестандартных сетевых соединений, а также своевременно применять патчи безопасности.