Спустя три года после первого обнаружения вредоносная программа Melofee вернулась в заметно более сложном виде. Новые её версии нацелены на серверы под управлением Linux. Теперь программа состоит из отдельных модулей. Их можно подключать и отключать на ходу, без перезапуска. Управляющую инфраструктуру разрешено менять удалённо. Скрытность обеспечивает руткит уровня ядра - набор компонентов, маскирующий присутствие чужого кода в системе. Подобные инструменты нужны для тихого закрепления на сервере и долгого удержания доступа.
Описание
Впервые Melofee описали в 2023 году. Программу связали с группами, действующими в интересах Китая, включая группировку APT41 (устойчивое обозначение давно отслеживаемой группы атакующих). Уже первые образцы умели выполнять команды, работать с файлами, открывать оболочку командной строки и собирать сведения о системе. Кроме того, они закреплялись в системе и связывались с управляющим сервером. Инструмент изначально создавался для серверов, а не для рабочих станций. Именно серверы дают злоумышленникам долгий и малозаметный доступ. В 2024 году появилась обновлённая версия. В ней добавились команды для просмотра и завершения процессов. Закрепление стало надёжнее: использовались задания планировщика задач и служба systemd, выдававшая себя за легитимный сервис VMware. Компонент ядра перестал поставляться отдельно и вошёл в основной файл программы.
Исследование Stormshield показало, что к 2026 году структура программы ощутимо изменилась. Основная часть инструмента умеет немного. Она выполняет базовые команды и подгружает дополнительные модули с управляющего сервера. Три модуля удалось изучить. Первый даёт интерактивную оболочку командной строки. Второй отвечает за работу с файлами и каталогами. Третий выполняет отдельные команды и возвращает результат оператору. Раньше все эти возможности были встроены в саму программу. Теперь их подключают только по необходимости. Такой подход снижает заметность и упрощает обновление отдельных частей.
Добавились и команды управления модулями. Оператор может запросить список загруженных компонентов. Лишний модуль удаляется без перезапуска всей программы. Отдельная команда полностью удаляет программу вместе с созданными файлами. Ещё одна приостанавливает работу на заданное число минут. Перед выходом на связь программа собирает профиль заражённой машины. В него входят имя узла, учётная запись, выпуск операционной системы, локальные адреса и текущее время. Из этих данных формируется уникальный идентификатор хоста. При этом профиль отправляется при каждом подключении, а не только при первом. Поэтому оператор всегда понимает, с какой именно машиной он работает. Собранные сведения позволяют отличать одну заражённую машину от другой при управлении целой сетью узлов.
Связь поддерживается несколькими способами одновременно. Программе задан список управляющих серверов. Для каждого указаны адрес, порт и тип соединения. Она перебирает их по очереди, пока не установит контакт. Поддерживаются обычное сетевое соединение, обмен по протоколу HTTP (способ передачи данных веб-службами) и защищённые каналы на основе TLS (криптографический протокол для шифрования трафика). Переключение между режимами остаётся незаметным для администратора. Перед началом работы программа строго проверяет ответ сервера. Если ответ не совпадает с ожидаемым, соединение разрывается и команды не выполняются. Следовательно, случайный сервер в сети не сможет выдать себя за управляющий центр.
Инфраструктура злоумышленников разделена на два кластера. В обоих применяются самоподписанные сертификаты - цифровые удостоверения, которые не выданы доверенным центром. В одном кластере атакующие выдают себя за компанию Symantec. Название этой фирмы стоит в полях сертификата. Во втором случае используется вымышленное имя xdevops. Доменные имена при этом имитируют сервисы обновлений. Похожий приём с подделкой сертификатов уже встречался в кампаниях, связанных с инструментом ShadowPad. Расчёт строится на том, что защитные системы доверяют знакомым названиям. Вместе с тем сертификат служит удобным ориентиром для поиска связанных серверов.
Отдельного внимания заслуживает сходство Melofee с семействами, нацеленными на Windows. Речь идёт о CrowDoor, TernDoor, Hemigate и RatelS. Совпадают способы шифрования трафика встроенным ключом. Совпадает логика обновления настроек. Совпадают протоколы связи и схема управления модулями. Даже имена внутренних классов и функций почти идентичны. Значит, код, скорее всего, общий. С высокой уверенностью можно говорить об одних и тех же разработчиках либо о передаче инструментов между группами. Такое совпадение усложняет атрибуцию. По коду становится трудно понять, кто именно стоит за конкретной атакой.
Атаки пока носят точечный характер. Известных образцов немного. Следовательно, речь идёт о работе по конкретным целям. Для компаний это означает риск длительного незаметного присутствия чужого кода на серверах. Через заражённую машину злоумышленник получает доступ к внутренним данным и развивает атаку на другие узлы сети. Меры защиты остаются прежними. Важно своевременно обновлять ядро и системное программное обеспечение серверов. Полезно ограничивать исходящие соединения и следить за необычными заданиями планировщика и службами. Помогает контроль целостности системных файлов. В свои межсетевые экраны Stormshield добавила правила для обнаружения активности этого семейства. Melofee остаётся активным и продолжает развиваться, поэтому внимание к серверной инфраструктуре снижать рано.
Индикаторы компрометации
YARA
