В течение последних месяцев специалисты по кибербезопасности наблюдают активность ранее неизвестной вредоносной программы под названием StealthServer, которая представляет собой кроссплатформенный бэкдор, нацеленный как на Windows, так и на Linux-системы. Анализ указывает на возможную связь с группировкой APT36 (Advanced Persistent Threat - продвинутая постоянная угроза), длительное время действующей в регионе Южной Азии.
Описание
Методы проникновения и маскировки
Первые образцы StealthServer были обнаружены в начале июля, причем атаки продолжают развиваться по нарастающей. Злоумышленники используют изощренные методы социальной инженерии, маскируя вредоносные файлы под документы, связанные с совещаниями, закупками и другими деловыми темами. Характерные примеры включают файлы с именами "Meeting_Ltr_ID1543ops.pdf.desktop" и "PROCUREMENT_OF_MANPORTABLE_&_COMPAC.pdf.desktop".
При запуске эти файлы действительно открывают PDF-документы через браузер Firefox, что создает видимость легитимной активности. Однако параллельно в фоновом режиме запускается основной вредоносный модуль. Содержание отображаемых документов обычно касается политических, военных или деловых тем, что соответствует интересам целевых организаций в регионе Южной Азии.
Технические особенности StealthServer
Ядро бэкдора написано на языке Golang, что обеспечивает его кроссплатформенность. Название "StealthServer" происходит от ответа сервера при установлении соединения: {"service":"stealth-server","status":"ok"}.
Основной функционал включает две ключевые возможности: кражу файлов с компьютеров жертв и выполнение произвольных команд, получаемых от сервера управления (C2 - Command and Control). Особенностью StealthServer является активное использование различных протоколов связи - исследователи идентифицировали три версии для Windows (две использующие TCP-сокеты и одну на WebSocket) и две для Linux (HTTP и WebSocket).
Методы противодействия анализу
Наиболее заметной особенностью StealthServer стало активное использование методов обфускации. Программа содержит значительное количество мусорного кода и бесполезных функций, что существенно замедляет процесс обратной разработки. Некоторые версии дополнительно используют технику обращения к легитимным доменам, таким как "google.com" и "microsoft.com", что затрудняет анализ сетевого трафика.
В Windows-версиях реализованы сложные механизмы антиотладки, включая проверки на наличие процессов, связанных с виртуальными машинами и песочницами, обнаружение отладчиков через IsDebuggerPresent() и PEBDebugFlag, а также проверки специфических каталогов и имен пользователей, характерных для аналитических сред.
Механизмы персистентности
В Windows-средах бэкдор использует многократное дублирование механизмов автозапуска: копирование в каталог %APPData% с установкой скрытых атрибутов, добавление в реестр HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, создание ярлыков в папке автозагрузки и регистрация системной службы через sc create.
В Linux-средах персистентность достигается созданием systemd-сервисов в пользовательских каталогах, модификацией файлов ~/.bashrc и ~/.profile, а также добавлением заданий в crontab с параметром @reboot.
Сетевое взаимодействие и функциональность
Протоколы связи варьируются между версиями, но все они используют JSON-формат для обмена данными. Базовый функционал включает команды LIST (получение списка файлов), UPLOAD (выгрузка файлов) и DOWNLOAD (загрузка файлов). В Linux-версиях дополнительно реализована возможность выполнения произвольных bash-команд.
Для кражи файлов бэкдор рекурсивно сканирует файловую систему от корневого каталога, отыскивая файлы с расширениями .pdf, .doc, .xls, .ppt, .txt, .zip и .rar. Перехваченные файлы шифруются с использованием AES-GCM перед отправкой на серверы управления.
Инфраструктура и связь с APT36
Анализ инфраструктуры показывает использование доменов, имитирующих официальные правительственные ресурсы, таких как "modindia[.]serveminecraft.net", "modgovindia[.]space" и "kavach[.]space". Эти домены демонстрируют структурное сходство с известными ресурсами APT36, включая использование одинаковых TLD (.support, .link) и общих IP-адресов.
Сходство методов доставки (использование .desktop файлов для Linux, тематика фишинговых документов) также соответствует историческим образцам активности этой группировки. Разработчики оставили следы в виде путей компиляции, содержащих "bossmaya", что наблюдается в образцах для обеих платформ.
Индикаторы компрометации
