Water Sigbin (8220 Gang) APT IOCs

Злоумышленник по имени Water Sigbin (8220 Gang) атакует серверы Oracle WebLogic, используя уязвимости, чтобы развернуть вредоносные программы для майнинга криптовалют. В одной из таких атак была использована техника многоступенчатой загрузки, включающая защиту кода и методы защиты от отладки, чтобы обезопасить себя от обратного проектирования и обнаружения.

Water Sigbin (8220 Gang) APT

Атака начинается с эксплуатации уязвимости CVE-2017-3506, где злоумышленник разворачивает PowerShell-скрипт для декодирования и выполнения загрузчика первого этапа. Загрузчик первого этапа скачивает и выполняет вредоносную программу-загрузчик, которая динамически извлекает и исполняет двоичный файл из указанного ресурса, расширяя свои возможности по уклонению от обнаружения.

Загрузчик второго этапа также является троянским загрузчиком, который расшифровывает и декомпрессирует полезную нагрузку второго этапа с помощью алгоритма шифрования и сжатия. Эта полезная нагрузка десериализуется и раскрывает конфигурацию загрузчика, включая имя создаваемого процесса и полезную нагрузку следующего этапа.

Загрузчик третьего этапа создает новый процесс и использует инъекцию процесса для загрузки и выполнения загрузчика PureCrypter. Каждый загрузчик обеспечивает защиту и шифрование для обмана систем обнаружения и получения максимальной эффективности.

В результате этой многоступенчатой загрузки, Water Sigbin успешно атакует серверы Oracle WebLogic и разворачивает вредоносную программу-загрузчик для майнинга криптовалют. Эта техника загрузки обеспечивает злоумышленникам защиту и возможность эффективного выполнения вредоносной деятельности.