Исследователи из Cisco Talos раскрыли деятельность новой продвинутой устойчивой угрозы, получившей обозначение UAT-9244. С высокой степенью уверенности эксперты связывают её с китайской APT-группой Famous Sparrow. С 2024 года злоумышленники целенаправленно атакуют критическую телекоммуникационную инфраструктуру в Южной Америке, используя три специализированных вредоносных импланта для Windows, Linux и периферийных устройств. Эта кампания демонстрирует растущий интерес государственных хакеров к ключевым секторам связи, что может угрожать не только конфиденциальности данных, но и стабильности коммуникаций целых регионов.
Описание
Целью атак стали конечные точки и пограничные устройства на базе операционных систем Windows и Linux. Для закрепления в системе и удалённого управления акторы используют три основных инструмента. Первый, получивший название TernDoor, представляет собой новую вариацию ранее известного бэкдора CrowDoor для Windows. Второй имплант, PeerTime, - это бэкдор на базе исполняемых файлов ELF, который для связи использует протокол BitTorrent, что усложняет его обнаружение и блокировку. Третий компонент, BruteEntry, представляет собой сканер для подбора учётных данных, который устанавливается на сетевые пограничные устройства, превращая их в прокси-узлы для массового сканирования, так называемые операционные релейные боксы (Operational Relay Boxes).
Эволюция инструментария Famous Sparrow: от SparrowDoor к TernDoor
Анализ TernDoor показывает тесную операционную связь между UAT-9244, Famous Sparrow и другой известной китайской группой Tropic Trooper. TernDoor является вариантом CrowDoor, который, в свою очередь, произошёл от бэкдора SparrowDoor, изначально атрибутированного Famous Sparrow. Совпадения в инструментарии, тактиках, техниках и процедурах, а также в типах жертв позволяют исследователям с высокой уверенностью утверждать, что UAT-9244 тесно переплетается с этими группами.
Цепочка заражения начинается с техники подмены динамических библиотек. Злоумышленники исполняют легитимный файл "wsprint.exe", который загружает вредоносный загрузчик "BugSplatRc64.dll". Эта библиотека, в свою очередь, считывает с диска файл данных "WSPrint.dll", расшифровывает его содержимое с помощью ключа "qwiozpVngruhg123" и исполняет в памяти, активируя финальную полезную нагрузку - бэкдор TernDoor. Для обеспечения постоянного присутствия в системе зловред создаёт запланированную задачу "WSPrint" или прописывает себя в автозагрузку через ключ реестра "Run". При этом TernDoor манипулирует ветками реестра, связанными с задачами, чтобы скрыть своё присутствие от администратора.
Функционал TernDoor включает в себя коммуникацию с командным сервером, создание процессов, выполнение произвольных команд, чтение и запись файлов, сбор системной информации и возможность самоудаления. Особенностью этой версии является встроенный и зашифрованный драйвер Windows ("WSPrint.sys"), который создаёт устройство "\Device\VMTool" и может приостанавливать, возобновлять или завершать процессы по указанию бэкдора, что, вероятно, используется для целей уклонения от обнаружения.
PeerTime: кроссплатформенная угроза для встраиваемых систем
Второй имплант, PeerTime, представляет собой более универсальную угрозу. Он скомпилирован для множества архитектур, включая ARM, AARCH, PPC и MIPS, что указывает на способность злоумышленников заражать широкий спектр встраиваемых систем и IoT-устройств, часто используемых в телекоммуникационной периферии. Его загрузчик умеет переименовывать свой процесс в легитимный для маскировки. Ключевая особенность PeerTime - использование протокола BitTorrent для получения команд от C2, загрузки файлов с других заражённых узлов (пиров) и их выполнения. Это создаёт децентрализованную и устойчивую к блокировкам инфраструктуру. В процессе установки инструментарий проверяет наличие Docker на хосте и при его обнаружении запускает загрузчик внутри контейнера. Наличие отладочных строк на упрощённом китайском языке в коде инструментатора подтверждает происхождение угрозы.
BruteEntry: создание ботнета для сканирования и подбора
Третий компонент, BruteEntry, написан на Go и превращает скомпрометированные Linux-системы в сканирующие прокси. После регистрации на C2-сервере агенту присваивается идентификатор, и он начинает запрашивать задачи. Сервер выдаёт списки IP-адресов для атак методом грубой силы на сервисы SSH, Postgres и веб-менеджер Tomcat. Агент использует встроенные словари учётных данных, а информацию об успешных взломах отправляет обратно на сервер управления. Это позволяет группе масштабировать атаки, используя ресурсы жертв, и скрывать истинное происхождение сканирующего трафика.
Рекомендации по защите
Обнаруженная кампания подчёркивает необходимость усиления защиты именно периферийных и встраиваемых систем в телеком-секторе, которые часто остаются без должного внимания. Компаниям следует внедрять строгий контроль за установкой программного обеспечения, мониторить аномальную активность, связанную с созданием запланированных задач и автозагрузки, а также обращать внимание на нестандартное сетевое взаимодействие, включая использование P2P-протоколов в корпоративной среде. Регулярное обновление ПО, применение принципа минимальных привилегий и обязательное использование многофакторной аутентификации для критических сервисов, таких как SSH и административные панели, являются базовыми, но эффективными мерами против подобных атак. Особое внимание следует уделять сегментации сети, чтобы ограничить потенциальное движение злоумышленника от скомпрометированного периферийного устройства к ядру инфраструктуры.
Индикаторы компрометации
