ShadowPad-malware ingezet tegen Pakistaanse doelen
Een onbekende bedreigingsactor heeft een veelgebruikte applicatie in Pakistan gecompromitteerd, wat heeft geleid tot de distributie van ShadowPad, een opvolger van de PlugX-achterdeur die wordt geassocieerd met Chinese hackgroepen.
De doelwitten die door deze cyberaanval worden getroffen, zijn onder meer een overheidsinstantie, een bank in de publieke sector en een telecommunicatieprovider in Pakistan. Volgens Trend Micro vonden de besmettingen plaats tussen februari en september 2022.
Trend Micro suggereert dat dit incident mogelijk het gevolg is van een aanval op de toeleveringsketen, waarbij wordt geknoeid met een legitieme softwaretoepassing die door de beoogde entiteiten wordt gebruikt om malware in te zetten die in staat is om gevoelige informatie van gecompromitteerde systemen te verzamelen.
Bij de aanval was een kwaadaardig installatieprogramma betrokken voor E-Office, een software die is ontwikkeld door de National Information Technology Board (NITB) van Pakistan om papierloze operaties in overheidsdiensten mogelijk te maken.
Aanvalsvector nog onbekend
De exacte methode die is gebruikt om het gecompromitteerde E-Office-installatieprogramma aan de slachtoffers te leveren, is momenteel niet bekend. Er zijn tot nu toe echter geen aanwijzingen dat de gebouwde omgeving van de betrokken Pakistaanse overheidsinstantie is gecompromitteerd.
Dit verhoogt de mogelijkheid dat de bedreigingsactor het legitieme installatieprogramma heeft verkregen en dit heeft aangepast om malware op te nemen. Ze hebben slachtoffers waarschijnlijk verleid om de getrojaniseerde versie uit te voeren via social engineering-tactieken.
Als onderdeel van de aanval werden drie bestanden toegevoegd aan het echte MSI-installatieprogramma: Telerik.Windows.Data.Validation.dll, mscoree.dll en mscoree.dll.dat. Hiervan is Telerik.Windows.Data.Validation.dll een geldig applaunch.exe-bestand ondertekend door Microsoft, vatbaar voor DLL-side-loading. Hierdoor kan mscoree.dll worden geladen, die op zijn beurt mscoree.dll.dat laadt, de payload die de ShadowPad-malware bevat.
Trend Micro merkt op dat de verduisteringstechnieken die worden gebruikt om de DLL te verbergen en de malware-decodering in de laatste fase een evolutie zijn van methoden die eerder in januari 2021 door Positive Technologies werden onthuld, gekoppeld aan de Winnti-groep (ook bekend als APT41), die zich bezighoudt met Chinese cyberspionage. campagnes.
