Malware Moriya heeft controle over de Windows-kernel

Gepubliceerd op 7 mei 2021 om 07:00

Cybersecurity onderzoekers hebben TunnelSnake blootgelegd, een lopende advanced persistent threat (APT) campagne, die actief is sinds 2019. De APT richtte zich op regionale en diplomatieke organisaties in Azië en Afrika. De aanvallers hebben een voorheen onbekende rootkit ingezet, die de naam Moriya heeft gekregen. Dit stuk malware, met bijna volledige macht over het besturingssysteem, stelde bedreigingsactoren in staat om netwerkverkeer te onderscheppen en kwaadaardige instructies te verbergen die werden gegeven aan de geïnfecteerde organisaties. Dit leidde ertoe dat de aanvallers maandenlang stiekem de controle hadden over de netwerken van de beoogde instanties.

Rootkits

Rootkits zijn kwaadaardige programma's of verzamelingen softwaretools die aanvallers onbeperkte en verborgen toegang geven tot een geïnfecteerde computer. Rootkits zijn berucht om hun onopvallende en ontwijkende manier van werken, omdat ze zich kunnen mengen in de structuur van het besturingssysteem. Dankzij de maatregelen die Microsoft in de loop der jaren heeft genomen om systemen te beschermen, is het succesvol inzetten en uitvoeren van een rootkitcomponent een moeilijke taak geworden, vooral in de Kernel-ruimte, waarbij de meeste Windows-rootkits nu worden ingezet bij opvallende APT-aanvallen, zoals TunnelSnake.

Moriya rootkit

Het onderzoek naar de campagne begon toen Kaspersky een reeks waarschuwingen ontving van detectie van een unieke rootkit binnen het beoogde netwerken. Deze rootkit die de naam Moriya kreeg was bijzonder ontwijkend dankzij twee kenmerken.

Het onderschept en inspecteert netwerkpakketten die onderweg zijn vanuit de adresruimte van de Windows-kernel, een geheugengebied waar de kernel van het besturingssysteem zich bevindt en waar normaal gesproken alleen bevoorrechte en vertrouwde codes draaien. Hierdoor kon de malware de unieke kwaadaardige pakketten die aan het systeem werden geleverd, laten vallen voordat ze werden verwerkt door de netwerkstack van het besturingssysteem.

Zo konden de aanvallers detectie door beveiligingsoplossingen vermijden. De rootkit reikte niet uit naar een server om commando's op te vragen, in tegenstelling tot de meest voorkomende backdoors, maar ontving deze in speciaal gemarkeerde pakketten, vermengd met de bulk van het netwerkverkeer dat de malware inspecteerde. Hierdoor hoefde de rootkit geen Command and Control infrastructuur te onderhouden, wat analyse belemmerde en het moeilijker maakte om de activiteit te traceren.

De architectuur van de Moriya-rootkit

Moriya werd meestal ingezet door kwetsbare webservers binnen de organisaties van de te hacken doelwitten. In één geval infecteerden de aanvallers een server met de China Chopper webshell, een kwaadaardige code die controle op afstand van de getroffen server mogelijk maakt. Gebruikmakend van de toegang die met deze webshell werd verkregen, werd ook de Moriya rootkit ingezet.

Bovendien werd naast de rootkit een set van verschillende tools gebruikt - op maat gemaakt of eerder in gebruik gezien door diverse Chinees-sprekende actoren, waarmee de aanvallers hosts in het lokale netwerk konden scannen, nieuwe doelwitten konden vinden, en een laterale beweging konden uitvoeren om zich naar hen te verspreiden en bestanden te infiltreren.

Connectie  Chineestalige groepen

"Hoewel we de campagne niet konden toeschrijven aan een specifieke actor, hebben zowel de doelwitten als de tools die in de APT zijn gebruikt een connectie met bekende Chineestalige groepen, wat erop wijst dat de actor waarschijnlijk ook Chineestalig is. We hebben ook een oudere versie van Moriya gevonden die in 2018 in een op zichzelf staande aanval is gebruikt, wat erop wijst dat de actor ten minste sinds 2018 actief is. Het profiel van de doelwitten en de gebruikte toolset suggereren dat het doel van de actor in deze campagne spionage is, hoewel we dit slechts gedeeltelijk kunnen bevestigen omdat we geen zicht hebben op de daadwerkelijk overgehevelde gegevens", aldus Giampaolo Dedola, senior beveiligingsonderzoeker .

"Terwijl wij ons blijven aanscherpen en beter verdedigen tegen gerichte aanvallen, hebben dreigingsactoren gereageerd door hun strategie te wijzigen. We zien steeds meer geheime campagnes zoals TunnelSnake, waarbij actoren extra stappen ondernemen om zo lang mogelijk onder de radar te blijven, en investeren in hun toolsets, waardoor deze meer op maat gesneden, complexer en moeilijker te detecteren zijn. Tegelijkertijd kunnen, zoals uit onze ontdekking is gebleken, ook zeer verborgen tools worden opgespoord en tegengehouden. Dit is een voortdurende strijd tussen beveiligingsleveranciers en dreigingsactoren. Om die te winnen moeten we als cyberbeveiligingsgemeenschap blijven samenwerken," voegt Mark Lechtik, senior beveiligingsonderzoeker.

Advies

Om uw bedrijf te beschermen tegen geavanceerde aanhoudende dreigingscampagnes zoals deze, raden experts het volgende aan:

  • Regelmatige beveiligingsaudits van de IT-infrastructuur van een organisatie om tekortkomingen en kwetsbare systemen aan het licht te brengen.
  • Zorg ervoor dat u een betrouwbare oplossing voor de beveiliging van endpoints gebruikt en houd deze altijd up-to-date, zodat deze de nieuwste soorten malware kan detecteren, zoals deze rootkit.
  • Installeer anti-APT- en EDR-oplossingen. Hierdoor kunnen bedreigingen worden opgespoord en gedetecteerd, en kunnen incidenten worden onderzocht en tijdig worden verholpen. Bied uw SOC-team toegang tot de nieuwste informatie over bedreigingen en school hen regelmatig bij met professionele training. 
Operation Tunnel Snake
PDF – 2,0 MB 247 downloads

Bron: securelist.com, kaspersky.com, kaspersky.nl

Meer info over malware lees je hier

Tips of verdachte activiteiten gezien? Meld het hier.

Malware gerelateerde berichten

Muziek: Artiesten en nummers om malware te verspreiden

Kaspersky-beveiligingstechnologieën ontdekten een toename van 39% van aanvallen (pogingen om kwaadaardige bestanden te downloaden of uit te voeren) onder het mom van het werk van 'genomineerden in 2019, vergeleken met 2018'. Ariana Grande, Taylor Swift en Post Malone waren de favorieten van aanvallers, met deze genomineerden namen die het meest worden gebruikt in 2019 als vermomming voor malware.

Lees meer »

Kerstmis malware verspreidt zich snel

Het is tijd voor lelijke kersttruien - en voor lelijke spammails met een kerstthema. Een nieuwe malspam-campagne dumpt een e-mail in uw inbox met 'Christmas Party', 'Christmas Party volgende week', 'Partymenu', 'Vakantieschema' of iets dergelijks. Maar het bijgevoegde Word-document bevat een gevaarlijke malware: de beruchte Trojan-malware van Emotet.

Lees meer »

Nepkortingsbonnen McDonalds leiden naar bankmalware

Facebook gebruikers zijn gewaarschuwd voor zogenaamde kortingsbonnen van 'McDonalds' die via het platform worden aangeboden. In plaats van een korting op een Big Mac, wacht er een infectie met bankmalware, die gegevens voor internetbankieren onderschept. Dat meldt antivirusbedrijf ESET.

Lees meer »

Bestandloze malware "Campagnes zonder infectie zijn moeilijk te detecteren"

Net zoals criminelen kunnen worden gepakt door vingerafdrukken of DNA op de plaats delict, laten hackers ook sporen achter op geïnfecteerde systemen. Om het bewijs van hun aanvallen te verbloemen, hebben cybercriminelen bestandsloze malware ontwikkeld. Deze schadelijke softwarevariant bestaat slechts als een artefact op het computergeheugen. De infectie of malware plaatst geen uitvoerbare bestanden op de harde schijf van het geïnfecteerde systeem om de detectie van de aanval zo lang mogelijk te verbergen. Verschillende nieuwe campagnes, die gebruikmaken van bestandsloze malware-aanvallen, zijn geanalyseerd door het Zscaler-ThreatlabZ-team.

Lees meer »