Специалисты по кибербезопасности из Trend Micro выявили активность китайской хакерской группировки Earth Lamia, которая с 2023 года ведет целенаправленные атаки на организации в Бразилии, Индии и странах Юго-Восточной Азии. Группировка специализируется на эксплуатации уязвимостей в веб-приложениях для кражи конфиденциальных данных и внедрения собственных вредоносных программ, включая уникальный бэкдор PULSEPACK.
Описание
Аналитики отмечают, что злоумышленники используют различные методы проникновения в корпоративные сети. Основной вектор атак связан с эксплуатацией SQL-инъекций в веб-приложениях, однако группировка также активно использует известные уязвимости в популярных платформах, включая Apache Struts2, GitLab, WordPress и JetBrains TeamCity. Особенностью Earth Lamia является постоянная смена приоритетных целей: если в начале 2024 года атаки были сосредоточены на финансовом секторе, то позднее группировка переключилась на логистические компании, интернет-магазины, IT-компании, образовательные учреждения и государственные организации.
После успешного проникновения в систему злоумышленники применяют сложный набор техник для закрепления в сети. Они загружают дополнительные инструменты с использованием системных утилит, устанавливают веб-шеллы для постоянного доступа, повышают привилегии с помощью специализированных программ, а также тщательно скрывают следы своей деятельности, очищая системные журналы.
Отличительной чертой Earth Lamia является разработка собственных модификаций открытых хакерских инструментов. Группировка активно изменяет исходный код программ, удаляя лишние строки и обфусцируя критически важные функции, чтобы избежать обнаружения системами безопасности. Одним из таких инструментов стал BypassBoss - модифицированная версия утилиты Sharp4PrinterNotifyPotato, исходный код которой был найден на китайском хакерском форуме.
Особое внимание исследователей привлекла техника DLL-подмены, которую активно использует группировка. Вредоносный код маскируется под системные библиотеки и запускается через легитимные процессы, что значительно затрудняет его обнаружение. Для дополнительной маскировки Earth Lamia применяет инструмент VOIDMAW, позволяющий выполнять вредоносный код непосредственно в памяти системы без записи на диск.
С августа 2024 года группировка начала внедрять собственный модульный бэкдор PULSEPACK. Эта вредоносная программа отличается уникальной архитектурой: основной компонент отвечает только за коммуникацию с командным центром, в то время как функциональные модули загружаются по требованию. В 2025 году бэкдор был существенно модернизирован - разработчики перевели коммуникацию на протокол WebSocket и оптимизировали размер основного модуля.
Аналитики отмечают сходство тактик Earth Lamia с другими известными китайскими хакерскими группировками, однако прямых доказательств их сотрудничества пока не обнаружено. Специалисты по безопасности рекомендуют организациям из группы риска уделить особое внимание обновлению веб-приложений, мониторингу подозрительной активности и контролю за использованием системных утилит для загрузки файлов. По мнению экспертов, Earth Lamia продолжает активно развивать свои инструменты, что делает её одной из наиболее опасных киберугроз для бизнеса в целевых регионах.
Индикаторы компрометации
