Китайское вредоносное ПО атакует военных Филиппин

Исследователи в области кибербезопасности обнаружили новую атаку: неизвестный ранее комплект вредоносного ПО без файловой структуры (fileless malware), нацеленный на военную организацию Филиппин. Этот вредонос базируется на сложной схеме — данные внедряются прямо в оперативную память, что затрудняет их обнаружение. Эксперты компании Bitdefender дали этому инструменту название EggStreme.

EggStreme — это многоступенчатый набор инструментов для скрытого шпионажа. Он использует так называемую подгрузку библиотек (DLL sideloading) — когда вредоносный код встраивается через внешне безопасные файлы. Внутри системы он активирует несколько компонентов:

• EggStremeFuel: начальный загрузчик, который устанавливает обратную связь с атакующим
• EggStremeLoader: читает и внедряет зашифрованные фрагменты вредоносных программ
• EggStremeReflectiveLoader: завершает внедрение финального вредоносного кода
• EggStremeAgent: основной элемент управления, обладающий 58 командами
• EggStremeKeylogger: перехват нажатий клавиш и сбор конфиденциальных данных пользователя
• EggStremeWizard: дополнительный канал связи для отказоустойчивости

Несмотря на попытки как-то соотнести EggStreme с известными группами, Bitdefender не нашёл явных связей. Однако интересы — скрытый сбор информации и долгосрочная незаметность — полностью совпадают с почерком китайских кибер-групп. Такие атаки происходят не только на Филиппинах, но и в регионе (Вьетнам, Тайвань) и даже по всему миру.

Наиболее известная китайская хак-группа — Salt Typhoon — уже много раз попадалась на атаках на крупные телекоммуникационные компании, в том числе в США.

Инфраструктура EggStreme доставляется через подменённые библиотеки DLL, запускающиеся при помощи надёжных программ-файлов, что даст вредоносному коду возможность обходить стандартные системы защиты. Как именно вредонос попадает на устройство, пока неясно. Исследователи предполагают компрометацию цепочек поставок ПО, ручной запуск через уже полученный доступ или компрометацию пользователя при посещении вредоносных сайтов.