Исследователи ESET обнаружили активность новой китайской APT-группы PlushDaemon, занимающейся кибершпионажем. Группа скомпрометировала цепочку поставок VPN-сервиса в Южной Корее, заменив легитимный установщик на измененный, содержащий бэкдор SlowStepper.
Описание
SlowStepper - многофункциональный бэкдор с более чем 30 компонентами, программированными на C++, Python и Go. PlushDaemon стремится получать доступ к целям путем перехвата легитимных обновлений и уязвимостей в веб-серверах.
Обнаружен вредоносный код в установщике NSIS для Windows, загружавшемся с сайта VPN-программного обеспечения IPany, разработанного южнокорейской компанией. Установщик устанавливал легитимное ПО и SlowStepper, связанное с PlushDaemon. Компания разработчик VPN была уведомлена о нарушении, и вредоносный установщик удален. PlushDaemon действует с 2019 года против целей в разных странах, используя свой пользовательский бэкдор SlowStepper и метод перехвата обновлений.
Атаки удавалось осуществлять через загрузку вредоносного установщика с сайта IPanyVPN, а затем жертвы были компрометированы. PlushDaemon применяет технику перенаправления трафика на контролируемые серверы и получает доступ через неопознанные уязвимости. Телеметрия ESET выявила попытки установки вредоносного ПО в корейские компании, анализ показал создание директорий и постоянство для SlowStepper при запуске вредоносного установщика. SlowStepper программируется для выполнения последующих шагов при старте Windows и загружает другие компоненты, такие как EncMgr.pkg, развертывая шпионские операции.
Таким образом, PlushDaemon демонстрирует сложную кибершпионскую операцию, используя бэкдор SlowStepper и техники перехвата обновлений для проведения хакерских атак на цели в различных странах, включая Южную Корею.
Индикаторы компрометации
