טל; דר
א PyPI פּעקל מיטן נאָמען gcli-קאָנטראָל געשיקט א פולשטענדיגע ווינדאוס ווײַט-צוטריט געצייג: קלאַוויאַטור לאָגינג, וועבקאַם און מיקראָפאָן כאַפּן, קליפּבאָרד מאָניטאָרינג, בראַוזער-קרעדענשאַל אַקסעס, פאַרשטעלן קאָנטראָל, פּערסיסטאַנס, פּריווילעגיע העכערונג, און אַ זיך-אַדווערטייזד "140+ קאַמאַנדז." עס האט נישט באַהאַלטן וואָס עס איז געווען: די פּאַקעט ס אייגענע PyPI סאַמערי האט עס באַשריבן ווי אַ "ווײַט אַקסעס געצייג דורך npoint.io".
דער דעטאַל וואָס איז ווערט צו פּויזירן אויף איז יענע פראַזע "דורך npoint.io." אנשטאט רופן אהיים צו א דעדיקירטן סערווער, האט דער אימפּלאַנט גענוצט נפונקט[.]יאָ (א פרייער, לעגיטימער סערוויס פארן האוסטן קליינע דזשעיסאָן דאקומענטן) אלס זיין קאמאנד-און-קאנטראל רעליי. דער אפעראטאר שרייבט קאמאנדעס אין א דזשעיסאָן בין; דער אימפלאנט פאלט יענעם בין, עקסעקוטירט, און שרייבט צוריק רעזולטאטן. קיין אטאקירער-געפירטע דאמעין צו בלאקירן, קיין פרישע IP צו מארקירן: דער טראפיק גייט צו א סערוויס וואס דיוועלאפערס ניצן יעדן טאג.
זעקס ווערסיעס זענען ארויסגעגעבן געוואָרן אין בערך דרייצן און אַ האַלב שעה, יעדע מער פֿעיִק ווי די לעצטע. יעדע איינע פֿון זיי איז געווען באַצייכנט מיט אַ נאָטן-צייכן. מל_פאראויסגעזאגט_זיכער דורך אַן אויטאָמאַטישן קלאַסיפֿיקאַטאָר איידער מאַנועלע איבערבליק האט רעקלאַסיפֿיצירט די משפּחה ווי בייזוויליק.
אַטאַק אַנאַטאָמיע
gcli-קאָנטראָל אינסטאלירט דעם אימפארט פעקל gcli, אַ 35-מאָדולן פּיטהאָן קאָדבאַזע. עס זענען נישטאָ קיין אינסטאַלאַציע-צייט פֿאָדערונגען. hooks — גאָרנישט לויפט בעת פּיפּ ינסטאַלירןדי מעגלעכקייט געפינט זיך אין די מאָדולן אַליין, וואָס ווערן אָנגערופן אַמאָל דאָס געצייַג לויפט, און די מאָדול אויסלייג לייענט זיך ווי אַ פּראָדוקט ספּעק בלאַט:
דער קאָמאַנד קאַנאַל איז דער אינטערעסאַנטער טייל. רובֿ ווײַט-אַקסעס מכשירים דערגרייכן אַ סערווער וואָס דער אָפּעראַטאָר קאָנטראָלירט — אַן IP, אַ דאָמעין, אַ האָסטינג פּראָוויידער וואָס קען ווערן געמאָלדן און אַוועקגענומען אָפפליין. gcli-קאָנטראָל אנשטאט באהאנדלט א פרייער JSON-bin סערוויס אלס א דעד-דראפ. די נפּוינט מאָדול לייענט און שרייבט קליינע JSON דאָקומענטן אויף נפונקט[.]יאָ איבער געוויינטלעכע HTTPS; די קריפּטאָ/ענקריפּט מאָדולן פּאַקן די אויסגעטוישטע פּיילאָודז אַזוי אַז דער אינהאַלט פון דער בין איז נישט קיין פּשוטע טעקסט באַפֿעלן. דער עפֿעקט איז אַ מעדיאַטעד, ענקריפּטעד רעליי:
- דער אָפּעראַטאָר לייגט אַרײַן אַן (פֿאַרשליסלטע) אינסטרוקציע אין אַ JSON בין.
- דער אימפּלאַנט, וואָס לויפט אויפן קרבן'ס האָסט, פּאָלט יענעם בין, דעקריפּטירט, עקסעקוטירט איינעם פון זיינע קאָמאַנד הענדלערס, און שרייבט צוריק דעם (ענקריפּטירטן) רעזולטאַט.
- צו אַ נעץ מאָניטאָר, רעדט דער קרבן פשוט צו נפונקט[.]יאָ — אַ סערוויס מיט אַ לעגיטימע סיבה צו דערשייַנען אין דעוועלאָפּער טראַפיק.
דא איז נישטא קיין צווייטע-פאזע דאונלאוד און קיין פארשטעקטע לאודער: די מעגלעכקייט ווערט געשיקט אינגאנצן, אין ליינענעם פּיטהאן, און די איינציגסטע "באהאלטונג" איז די אויסוואל פון רעליי און די ענקריפּשאַן פון די רעלייעד פּיילאָודז.
פארוואס א JSON-bin דעד-דראפ איז אפעראציאנעל אטראקטיוו איז ווערט צו דערקלערן, ווייל דאס דערקלערט פארוואס מיר ערווארטן צו זען דעם מוסטער נאכאמאל:
- קיין אָפּעראַטאָר-אָונד ענדפּוינט. עס איז נישטאָ קיין C2 דאָמעין צו רעגיסטרירן, קיין VPS צו דינגען, און גאָרנישט פֿאַר אַ פֿאַרטיידיקער אָדער רעגיסטראַר צו קאָנפֿיסקירן. אַראָפּנעמען פֿון דעם פּעקל רירט נישט דעם קאַנאַל; אַראָפּנעמען פון די קאַנאַל מיינט בעטן אן אלגעמיינעם SaaS צו פאליצייען איין דאקומענט צווישן מיליאָנען.
- רעפּוטאַציע וואַשינג. ארויסגייענדיקע HTTPS צו א באוואוסטע דעוועלאפער סערוויס טראגט נישט קיין איינע פון די רעפוטאציע שטראפן וואס א פרישע דאמעין אדער א רויע IP וואלט געהאט. אסאך ארויסגייענדיקע-פילטערינג סעטאפס ערלויבן עס אימפליציט.
- אַסינקראָני און לייקענונג. א פּאָלינג מאָדעל — דער אימפּלאַנט נעמט אַ דאָקומענט אויף אַן אינטערוואַל אַנשטאָט צו האַלטן אַן אָפֿענעם סאָקעט — פּראָדוצירט טראַפֿיק וואָס זעט אויס ווי פּעריִאָדישע API פּאָלינג, נישט אַן אינטעראַקטיווע סעסיע. פֿאַרשליסן דעם אינהאַלט פֿון דאָקומענט מיינט אַז אַפֿילו אַן אַנאַליסט וואָס געפֿינט דעם בין זעט פֿאַרשיפֿערטע טעקסט, נישט אַ באַפֿעלן רשימה.
- טריוויאַל ראָטאַציעאריבערגיין צו אן אנדער בין, אדער א גאנץ אנדערע נאטיץ/פייסט סערוויס, איז אן איין-ליניע קאנפיגוראציע ענדערונג פארן אפעראטאר. יעדע בלאק-ליסט וואס איז פארבונדן צום ספעציפישן רעליי איז פארעלטערט אין דעם מאמענט וואס עס ווערט געשיקט.
דער קאמפראמיס וואס דער אפעראטאר נעמט אן איז דורכפלוס און לעיטענסי: א דעד-דראפ רעליי איז שטייטער און מיט א נידעריגערע באנדווידט ווי א דירעקטע פארבינדונג. פאר אן אויפזיכט-און-קאנטראל אימפלאנט וואס גיט מערסטנס ארויס קורצע באפעלן און זאמלט רעזולטאטן איבער צייט, איז יענער קאמפראמיס גרינג צו מאכן.
טיימליין
די משפּחה איז שנעל פֿאַרערגערט געוואָרן. די צײַטשטעמפלען פֿאַר שאַפֿן טיקעטס פֿאַר די געמאַרקירטע ווערסיעס שטעלן דעם גאַנצן באַאָבאַכטעטן אַרק אין אַרום דרייצן און אַ האַלב שעה, און די סקאַנער'ס אייגענע באַווײַז־צאָל איז געוואַקסן צוזאַמען מיטן קאָד — פֿון אַ פּאָר געמאַרקירטע זײַטלעך אין דער ערשטער ווערסיע ביז פֿערצן אין דער לעצטער.
די ווערסיע נומערן זענען נישט ארויסגעגעבן געווארן אין א גענויער סדר, אבער די ריכטונג איז קלאר: א קליינע ערשטע שניט, דערנאך א שנעלע איבערגאנג צו דער פולשטענדיגער 0.7.1. דאס איז די פארעם פון א פראיעקט אונטער אקטיווער אנטוויקלונג וואס ווערט אריינגעשטופט אין א פובליק רעגיסטרי ווי עס וואקסט, נישט אן איין מאל דראפ.
ינדיקאַטאָרס פון קאָמפּראָמיס
אלע אינדיקאטארן אונטן זענען באשטעטיקט געווארן קעגן די אינהאלט פון דעם פעקל אויף דער דיסק און א דעטערמיניסטישן אינדיקאטאר סקען פון ווערסיע 0.7.1; קיינער איז נישט ספעקולאטיוו.
פארטיידיקער נאטיץ: דער שטאַרקסטער דויערהאפטיקער סיגנאַל איז נישט דער דאָמעין (אַ רעליי האָסט ראָטירט טריוויאַל) נאָר דער געשטאַלטאַן איינציקער פּעקל וואָס באַנדלט דריי אָדער מער באַזונדערע האָסט-איבערוואַכונג פּרימיטיוון און רוטירט א קאמאנד/רעספאנס שלייף דורך א פובליק אינהאלט-האסטינג סערוויס. בלאקירן נפונקט[.]יאָ גאָר נישט פּראַקטיש פֿאַר רובֿ שאַפּס; אַלערטירן אויף אַן אומגעריכטן פּראָצעס וואָס ביידע כאַפּט אַרייַנשרייַב דעוויסעס און רעדט צו אַ JSON-bin סערוויס איז פיל מער ראָבאַסט.
באמערקטע אויפפירונג און פרעממינג
צוויי זאכן מאַכן דעם מוסטער ומגעוויינטלעך, און ביידע זענען באַאָבאַכטבאַרע פאַקטן אלא ווי מסקנות וועגן מאָטיוו.
עס האט זיך אליין אדווערטייזט. די פּעקל קיצור וואָס איז פאַרשפּרייט געוואָרן אויף PyPI האָט אויסגערעכנט די מעגלעכקייטן אין אַ פּשוטער שפּראַך — ווײַט-צוטריט, דעסקטאָפּ קאָנטראָל, באַניצער פאַרוואַלטונג, וועבקאַם, אַודיאָ, קילאָגער, פּערסיסטענס, בראַוזער דאַטן, WiFi, רעגיסטרי, "140+ באַפֿעלן." עס איז נישט געווען קיין פּרוּוו צו געבן דעם קאָד אַרויס ווי אַ בילד העלפּער, אַ CLI ראַפּער, אָדער אַן AI-אַגענט יוטיליטי, וואָס איז די מער געוויינטלעכע פאַרשטעלונג וואָס מיר זען אויף עפנטלעכע רעגיסטריז. צי די אָפֿענהייט שפיגלט אָפּ אַ רויט-מאַנשאַפֿט געצייַג פאַרעפֿנטלעכט אָן צוטריט קאָנטראָל אָדער עפּעס אַנדערש איז אַ פֿראַגע וואָס דער אינהאַלט פֿון דעם פּעקל אַליין באַשליסט נישט; וואָס איז זיכער איז אַז אַ אַרבעטנדיק, אַלגעמיינע ווײַט-צוטריט און אויפֿזיכט געצייַגקיט איז געווען אינסטאַלירבאַר דורך ווער עס יז מיט... פּיפּ.
עס האָט זיך פֿאַרלאָזט אויף צוטרוי אין אַ גוטהאַרציקע סערוויס. ניצן נפונקט[.]יאָ ווייל דער רעליי איז די דעפינירנדיקע טעכניק. דאס איז א ביישפיל פון א ברייטערן מוסטער — רוטינג C2 דורך א לעגיטימען SaaS (פּאַסטע זייטלעך, JSON בינס, טשאַט וועבhooks, וואָלקן דאָקס) אַזוי אַז דער בייזוויליקער טראַפיק זאָל זיך פֿאַרמישן מיט נאָרמאַלער דעוועלאָפּער טעטיקייט און עס איז נישטאָ קיין אָפּעראַטאָר-אָונד ענדפּוינט צו כאַפּן. די פּיילאָודז אויף די רעליי זענען געווען ענקריפּטעד, אַזוי אַז דער בין אינהאַלט וואָלט נישט ווערן געלייענט ווי באַפֿעלן צו אַ צופֿעליקן באַאָבאַכטער.
די ארויסגעבער סיגנאלן זענען דין און אלגעמיין. דער פּעקל האָט דערקלערט אַ מחבר פון "gcli מיטארבעטער" און אן MIT ליצענץ, און האט געוויזן איר היים בלאט און רעפאזיטארי פעלדער צו גיטהוב[.]com/gcli-control/gcli. גאָרנישט פון דעם איז וועריפיקאַציע: אַן מחבר סטרינג איז פרייער טעקסט, אַן MIT ליצענץ כעדער קאָסט גאָרנישט, און אַ רעפּאָזיטאָרי URL אין פּאַקעט מעטאַדאַטאַ איז אַ פאָדערונג, נישט אַ באַווייַז פון אָפּשטאַם. דער מוסטער - אַ גאָר נייַ נאָמען, אַ דזשענעריק קאָלעקטיוו מחבר, און אַ זיך-רעפערענציעל אָרגאַניזאַציע/רעפּאָ באשאפן אַרום דעם פּאַקעט - איז ווי אַ פּראָיעקט קוקט אויס ווען עס איז ספּעציפֿיש אויפגעשטעלט צו טראָגן דעם קאָד, אַנשטאָט אַן עטאַבלירט געצייַג וואָס האָט צופעליק אויסגעוואַקסן אַ ווייַט-קאָנטראָל פֿונקציע. מיר באַמערקן די ווי אָבסערוואַציעס; זיי זענען קאָנסיסטענט מיט, אָבער שטעלן נישט אַליין פעסט, אַ צוועק-געבויטע דיסטריביוציע.
מיר באַשרײַבן די דיספּאָזיציע ווי בייזוויליק אויף דער באַזע פון קייפּאַביליטי און דעליווערי: אַ פולשטענדיקער, לויפבאַרער ווײַט-צוטריט און אויפֿזיכט אימפּלאַנט, פֿאַרשפּרייט אויף אַ עפֿנטלעכן פּעקל אינדעקס מיט אַ געהיימען רעליי. מיר געבן נישט קיין ציל אָדער מאָטיוו.
השפּעה, טרענדס און וואָס פֿאַרטיידיקער קענען טאָן
א בלינדער פלעק פאר פארשטעלונג-אריענטירטע טריאזש. פיל אויטאמאטישע פּעקל טריאַזש שליסלען אויף די פאַרשטעלונג סיגנאַלן פון טיפּישע רעגיסטרי מאַלוואַרע — פארשטעלטע בלאבס, אינסטאלירונג-צייט hooks, קרעדענשאַל-האַלווינג איין-ליינערס. א פּעקל וואָס איז פשוט אפן א ראט, מיט ריינעם ליינענעם קאוד און קיין אינסטאל קרוק, ווייזט נישט קיין איינע פון די זאגן און קען דורכגיין די היוריסטיקס וואס ערווארטן פארדעקונג. די סיגנאלן וואס כאפן דעם קלאס מיט צוטרוי זענען סטרוקטורעל אנשטאט פארשטעלונג-באזירט: א מעגלעכקייט צענזוס (וויפיל באזונדערע האוסט-אויפזיכט פרימיטיוון עקזיסטירן צוזאמען אין איין פעקל) און C2-פארעם אנאליז (א קאמאנד/רעספאנס שלייף וואס ווערט גערוט דורך אן אלגעמיינעם אינהאלט-האוסטינג סערוויס). די טשעקס ארבעטן נישט קוקנדיק אויף ווי ערלעך אדער... obfuscated די פּאַקאַדזשינג איז.
דער SaaS-ווי-C2 טרענד. מיסברויכן א לעגיטימע האסטינג סערוויס אלס א דעד-דראפ איז נישט ניי, אבער עס ארבעט ווייטער ווייל די פארטיידיקונגס קאסטן פון בלאקירן דעם סערוויס איז הויך און די אפענסיווע קאסטן פון בייטן סערוויס איז נאנט צו נול. ערווארט מער דערפון. נעץ פארטיידיקונגען וואס זענען געצילט צו ספעציפישע שלעכטע דאמעינס ווערן גלייך עלטער; אויפפירונגס-רעגולאציעס ("דער פראצעס לייענט דעם קליפּבאָרד און די וועבקאַם און רעדט דאן צו א נאטיץ-האסטינג API") טוען נישט.
א קאנקרעט דעטעקציע סקיצע. די דויערהאפטע כלל נעמט נישט קיין נאמען נפונקט[.]יאָ בכלל. עס קאָמבינירט צוויי אָבסערוואַציעס וואָס זענען ינדיווידזשואַלי געוויינטלעך אָבער צוזאַמען זעלטן אויף אַ נאָרמאַלן דעוועלאָפּער אָדער CI האָסט:
וואָרענונג ווען אַן איינציקער פּראָצעס, אין איין סעסיע, ביידע:
(א) צוטריט צו א האוסט-אויפזיכט פרימיטיוו — אינפוט דעווייס (קיבארד/מויז קרוק), קאמערא, מיקראפאן, סקרין קעפטשער, קליפּבאָרד לייען-לופּ, אדער א בראַוזער קרעדענשאַל סטאָר ("Login דאַטן" / "לאָקאַלער שטאַט" / DPAPI); און
(ב) מאכט ארויסגייענדיקע פארלאנגען צו א פובליק אינהאלט-האוסטינג / פייסט / דזשעי-סאן-בין / טשעט-וועבהוק סערוויס און דערנאך הייבן עס אויף פאר איבערבליק, נישט קוקנדיק אויף דעם ספעציפישן סערוויס אין (ב).
קיין איינע פון די העלפטן איז נישט פארדעכטיגט אליין: אסאך לעגיטימע מכשירים סקרינשאט, און אסאך שיקן דזשייסאן צו א האסטינג API. די קאנדזשונקציע אינעווייניק פון איין קורץ-לעבעדיגן פראצעס איז דער סיגנאל, און עס איבערלעבט יעדע רעליי ראטאציע.
פּראַקטישע טריט פֿאַר גרופּעס:
- באַהאַנדלט עפֿנטלעכע פּעקל אינסטאַלאַציעס אויף דעוועלאָפּער און CI האָסטס ווי אַן עקסעקוטיאָן גרענעץ, נישט אַ באַקוועמלעכקייט — אַ RAT אויף אַ בילד אַגענט איז אַ RAT מיט דיינע סודות.
- בעפֿאָרצוגן ערלויבט-ליסטע אינערלעכע שפּיגלען; אַ פּעקל וואָס הייסט ממש פֿאַר ווײַטקאָנטראָל און באַשרײַבט אַ קילאָגער זאָל קיינמאָל נישט אויפֿלייזן אויף אַ קאָרפּאָראַטיוון אינדעקס.
- וואָרענונג אויף די קאָמבינאַציע — אינפוט-דעווייס אדער סקרין קעפּטשער פּלוס אַויסגייענדיקער טראַפיק צו אַ קאָנטענט/פּייסט/דזשאָון-בין סערוויס — אַנשטאָט אויף קיין איינציקן פּרימיטיוו, וואָס האט גוטהאַרציקע נוצן אין אפגעזונדערטקייט.
- פֿאַרלאָזט זיך נישט אויף אַן אויטאָמאַטישן "זיכערן" כעזשבן ווי אַ טערמינאַלן ווערדיקט פֿאַר פּאַקאַדזשאַז מיט ברייטער האָסט-אַקסעס מעגלעכקייט; גיט זיי צו מענטשלעכער איבערבליק.
די פּעקעדזש משפּחה איז קלאַסיפֿיצירט געוואָרן ווי בייזוויליק און רעפֿערירט פֿאַר רעגיסטרי אַראָפּנעמען. ווײַל אַ רעליי-באַזירטער C2 לאָזט נישט קיין אָפּעראַטאָר-אָונד האָסט אין אַ זינקלאָך, איז דער דויערהאפטער דעפֿענסיווער ווערט אין דעם בעהאַוויאָראַלן פינגערפּרינט אויבן, נישט אין קיין איין בלאָקליסט איינטראַג.
