Złośliwe oprogramowanie CR4T użyte w kampanii DuneQuixote
Organy rządowe na Bliskim Wschodzie stały się celem nieujawnionej operacji mającej na celu wprowadzenie nowego, tajnego punktu wejścia znanego jako CR4T.
Według badaczy cyberbezpieczeństwa aktywność tę wykryto w lutym 2024 r., co wskazuje na potencjalną aktywność sięgającą co najmniej roku. W kampanii nazwanej DuneQuixote zastosowano taktykę mającą na celu udaremnienie wykrycia i analizy, zarówno w kanałach komunikacyjnych, jak i w samym złośliwym oprogramowaniu.
Łańcuch ataku CR4T
Atak rozpoczyna się od droppera, dostępnego w dwóch postaciach: standardowego pliku wykonywalnego lub pliku DLL oraz zmodyfikowanego instalatora legalnego narzędzia Total Commander. Niezależnie od wariantu, głównym zadaniem droppera jest wyodrębnienie zaszyfrowanego adresu dowodzenia i kontroli (C2) przy użyciu innowacyjnej metody mającej na celu zaciemnienie lokalizacji serwera, uniemożliwiając łatwe wykrycie przez automatyczne narzędzia analityczne.
Proces ten obejmuje połączenie nazwy pliku droppera z wybranymi fragmentami hiszpańskich wierszy w kodzie, a następnie wygenerowanie skrótu MD5 w celu odszyfrowania adresu serwera C2.
Po połączeniu z serwerem C2 dropper pobiera kolejny ładunek, pod warunkiem, że w żądaniu HTTP przedstawi predefiniowany ciąg User-Agent. Dostęp do tego ładunku jest ograniczony i wymaga prawidłowego agenta użytkownika lub jest dostępny przez ograniczony czas po wydaniu próbki złośliwego oprogramowania.
Tymczasem trojanizowany instalator Total Commander zachowuje podstawową funkcję droppera, ale wprowadza zmiany. Eliminuje ciągi wierszy hiszpańskich i dodaje dalsze kontrole antyanalizacyjne, uniemożliwiając połączenia z serwerem C2 w określonych warunkach, takich jak obecność narzędzi do debugowania, brak ruchu kursora po ustalonym czasie, niewystarczająca ilość pamięci RAM lub miejsca na dysku.
CR4T, napisany w C/C++, to implant wykorzystujący tylko pamięć, ułatwiający atakującemu dostęp za pośrednictwem konsoli wiersza poleceń, przeprowadzanie operacji na plikach i wymianę danych z serwerem C2.
