Проведённое Symantec Threat Hunter исследование выявило вредоносное ПО невиданной ранее технической сложности. Оно позволяет злоумышленнику выполнять различные операции и собирать данные на зараженном компьютере. Daxin напоминает вредоносное ПО, использованное в длительной шпионской кампании против правительства ряда стран и критически важных объектов инфраструктуры.

Daxin нацелен на организации и правительства, представляющие стратегический интерес для Китая, что позволяет предположить, что злоумышленники, использующие его, каким-то образом связаны с Китаем.

Учитывая возможности и характер развернутых атак Daxin, он оптимизирован для использования против защищенных целей и позволяет злоумышленникам проникать глубоко в сеть и эксфильтровать данные, не вызывая подозрений.

Технический обзор Daxin

Daxin поставляется в виде драйвера ядра Windows, что в настоящее время является относительно редким форматом. Он реализует расширенные коммуникационные функции, которые обеспечивают высокую степень скрытности и позволяют злоумышленникам общаться с зараженными компьютерами в высокозащищенных сетях, где прямое подключение к интернету недоступно. Эти функции напоминают Regin, продвинутый инструмент шпионажа, обнаруженный Symantec в 2014 году.

Возможности Daxin позволяют предположить, что злоумышленники разработали методы связи, способные незаметно смешиваться с обычным сетевым трафиком. В частности, вредоносное ПО избегает запуска собственных сетевых служб. Вместо этого оно может злоупотреблять любыми легитимными службами, уже запущенными на зараженных компьютерах.

Daxin также может передавать свои сообщения по сети зараженных компьютеров в атакуемой организации. Злоумышленники могут выбрать произвольный путь через зараженные компьютеры и отправить команду, которая предписывает этим компьютерам установить запрошенное соединение. 

Daxin также поддерживает сетевое туннелирование, позволяющее злоумышленникам взаимодействовать с легитимными службами в сети жертвы, к которым можно получить доступ с любого заражённого компьютера.

Daxin в деталях

Daxin — это бэкдор, который позволяет злоумышленникам выполнять на заражённом компьютере различные операции, например, чтение и запись любых файлов, а также запускать произвольные процессы и взаимодействовать с ними. Хотя набор распознаваемых Daxin операций невелик, его реальная ценность для злоумышленников заключается в скрытности и коммуникационных возможностях.

Daxin может обмениваться данными, перехватывая легитимные соединения TCP/IP. Для этого он отслеживает весь входящий TCP-трафик на наличие определенных шаблонов. Всякий раз, когда обнаруживается какой-либо из этих шаблонов, Daxin отключает легального получателя и переключает соединение на себя. Затем он выполняет пользовательский обмен ключами с удаленным пиром, где обе стороны должны выполнить дополнительные шаги. Вредоносное ПО может быть как инициатором, так и целью обмена ключами. Успешный обмен ключами открывает зашифрованный канал связи для получения команд и отправки ответов. Из-за того, что Daxin использует перехваченные TCP-соединения, он имеет высокую степень скрытности связи и может установить соединение в сетях со строгими правилами брандмауэра. Это также позволяет снизить риск обнаружения.

Встроенные функции Daxin можно расширить, развернув на зараженном компьютере дополнительные компоненты. Для таких компонентов Daxin предоставляет выделенный механизм связи, внедряя устройство с именем «\\.\Tcp4». Вредоносные компоненты могут открыть это устройство, чтобы зарегистрироваться для связи. Каждый из компонентов может связать 32-битный идентификатор службы с открытым дескриптором \\.\Tcp4. Затем злоумышленник может взаимодействовать с выбранными компонентами, указав соответствующую службу, идентифицированную при отправке сообщений определенного типа. Драйвер также включает механизм для отправки любых ответов.

Существуют также специальные сообщения, которые инкапсулируют необработанные сетевые пакеты для передачи через локальный сетевой адаптер. Затем Daxin отслеживает сетевые потоки, и любые ответные пакеты перехватываются и пересылаются злоумышленнику. Это позволяет установить связь с легитимными службами, доступными с зараженной машины в сети цели, где удаленный злоумышленник использует сетевые туннели для взаимодействия с интересующими внутренними серверами.

Наиболее интересной функциональной особенностью бэкдора является возможность создания нового канала связи между несколькими зараженными компьютерами, где список узлов предоставляется злоумышленником в одной команде. Для каждого узла сообщение содержит все сведения, необходимые для установления связи, в частности, IP-адрес узла, номер его TCP-порта и учетные данные для пользовательского обмена ключами. Когда Daxin получает это сообщение, он выбирает следующий узел из списка. Затем он использует свой собственный стек TCP/IP для подключения к серверу TCP, указанному в выбранной записи. После подключения Daxin запускает протокол на стороне инициатора. Если одноранговый компьютер заражен Daxin, это приводит к открытию нового зашифрованного канала связи. По этому каналу отправляется обновленная копия исходного сообщения, где позиция следующего используемого узла увеличивается на один шаг. Затем процесс повторяется для остальных узлов в списке.

Хотя злоумышленники нередко совершают несколько переходов между сетями, чтобы обойти брандмауэры и избежать подозрений, это обычно делается поэтапно, так что для каждого перехода требуется отдельное действие. В случае с Daxin этот процесс представляет собой единую операцию, что позволяет предположить, что вредоносное ПО предназначено для атак на хорошо защищенные сети, где злоумышленникам может потребоваться периодически повторно подключаться к скомпрометированным компьютерам.

Хронология

Команда Symantec Threat Hunter обнаружила Daxin в государственных организациях, а также в организациях телекоммуникационного, транспортного и производственного секторов. Несколько жертв были идентифицированы с помощью команды PwC Threat Intelligence.

Хотя последние известные атаки с участием Daxin произошли в ноябре 2021 года, самый ранний известный образец вредоносного ПО датируется 2013 годом. Он включает все расширенные функции, представленные в самых последних версиях, а большая часть кодовой базы уже была полностью разработана. 

Скорее всего, перед тем как приступить к разработке Daxin, злоумышленники уже какое-то время экспериментировали с различными техниками. Более старая вредоносная программа — Backdoor.Zala (также известная как Exforel) — содержала ряд общих функций, но не обладала многими возможностями Daxin. Daxin, похоже, опирается на сетевые методы Zala, используя значительный объем его кода. Также для перехвата используется та же общедоступная библиотека, что и в случае Zala. Подобные сходства указывают на то, создатели Daxin, как минимум, имели доступ к кодовой базе Zala. Скорее всего оба семейства вредоносных программ использовались одним и тем же субъектом, проявившим себя не позднее 2009 года.

Защита/смягчение действия

Последние обновления защиты можно найти в Symantec Protection Bulletin.

Индикаторы компрометации

Что ещё интересного есть в блоге Cloud4Y

→ История Game Genie — чит-устройства, которое всколыхнуло мир

→ Сделайте Linux похожим на Windows 95

→ Как не позволить техническому долгу одолеть вас

→ WD-40: средство, которое может почти всё

→ 30 лучших Python-проектов на GitHub на начало 2022 года

Подписывайтесь на наш Telegram-канал, чтобы не пропустить очередную статью. Пишем только по делу.