SILKLOADER to rodzaj złośliwego oprogramowania typu loader. Używa on techniki znanej jako DLL sideloading (jest to jeden ze sposobów ataku przy pomocy bibliotek dołączanych dynamicznie), aby uaktywnić Cobalt Strike (znane narzędzie do prowadzenia działań ofensywnych oraz testów penetracyjnych) na urządzeniach. Daje to atakującym stały dostęp do zainfekowanych urządzeń w celu ich dalszego wykorzystania.
Przed latem 2022 r. SILKLOADER był wykorzystywany wyłącznie przez chińskich cyberprzestępców przeciwko celom w Azji Wschodniej – głównie Hongkongowi i Chinom. Jego aktywność ustała jednak w lipcu. We wrześniu oprogramowanie pojawiło się ponownie w innym zestawie ataków na różne cele w różnych krajach na różnych kontynentach w tym na Tajwanie, w Brazylii i we Francji.
Złośliwe oprogramowanie na sprzedaż
Badacze WithSecure, monitorując wykorzystanie tego oprogramowania, doszli do wniosku, że SILKLOADER przeniósł się do rosyjskiego ekosystemu cyberprzestępczego. Najbardziej prawdopodobnym wyjaśnieniem jest to, że chińscy hakerzy sprzedali go rosyjskim gangom.
Uważamy, że dystrybucja SILKLOADER odbywa się w ramach rosyjskiego ekosystemu cyberprzestępczego. Sprzedawany jest on jako gotowy program ładujący poprzez program Packer-as-a-Service dla grup ransomware lub przez grupy oferujące Cobalt Strike/Infrastructure-as-a-Service zaufanym partnerom – tłumaczy badacz WithSecure Intelligence Mohammad Kazem Hassan Nejad – Wydaje się, że większość podmiotów powiązanych z atakami była częścią lub miała bliskie relacje z prorosyjską grupą CONTI.
Omijanie mechanizmów obronnych
Według Hassana Nejada, loader został zbudowany w celu ukrycia beaconów Cobalt Strike, by dzięki temu móc ominąć mechanizmy obronne ofiary.
Beacony Cobalt Strike są znane i wykrycie ich na dobrze zabezpieczonym urządzeni jest bardzo prawdopodobne. Jednak dodając dodatkowe warstwy złożoności, zawartości pliku i uruchamiając go za pośrednictwem znanej aplikacji, takiej jak Media Player, atakujący mają nadzieję na uniknięcie mechanizmów obronnych – powiedział.
Wyzwanie dla cyberbezpieczeństwa
Według wiceprezesa WithSecure Intelligence, Paolo Palumbo, dostępność loadera jako usługi, którą mogą kupić cyberprzestępcy, podkreśla potrzebę przeciwdziałania handlowi złośliwym oprogramowaniem.
Atakujący wykorzystują narzędzia i technologie innych gangów, dzięki czemu mogą szybko dostosowywać operacje tak, aby omijać systemy obronne swoich celów. Przez to coraz trudniej jest nam powiązać konkretną grupę z danymi metodami ataków. Z drugiej strony, to współdzielenie narzędzi przez grupy przestępcze oferuje nam „defensywny multiplikator siły”. Jednocześnie możemy bronić się przed kilkoma grupami jednocześnie, tworząc strategie przeciwdziałania wspólnym technologiom, z których korzystają cyberprzestępcy – podkresla Palumbo.
Więcej na temat migracji oprogramowania SILKLOADER w raporcie: https://labs.withsecure.com/publications/silkloader.
O WithSecure™
WithSecure™, dawniej F-Secure Business, to niezawodny partner w dziedzinie cyberbezpieczeństwa. Dostawcy usług IT, MSSP i inne firmy – w tym największe instytucje finansowe, producenci i tysiące dostawców najbardziej zaawansowanych technologii i usług komunikacyjnych – ufają WithSecure™ w zakresie efektywnego cyberbezpieczeństwa, które chroni i umożliwia ich funkcjonowanie. Ochrona oparta o sztuczną inteligencję zabezpiecza urządzenia końcowe i rozwiązania chmurowe, a inteligentne systemy wykrywania i reagowania są wspierane przez ekspertów, którzy identyfikują ryzyko biznesowe poprzez proaktywne wyszukiwanie zagrożeń i stawianie czoła atakom w czasie rzeczywistym. Konsultanci WithSecure™, współpracują z przedsiębiorstwami w celu budowania odporności na ataki poprzez doradztwo w zakresie bezpieczeństwa opartego na dowodach. Dzięki ponad 30-letniemu doświadczeniu w tworzeniu technologii zgodnej z celami biznesowymi, WithSecure™ zbudowało portfolio, pozwalające na rozwój własny i partnerów poprzez elastyczne modele handlowe.
Firma WithSecure™ Corporation została założona w 1988 roku i jest notowana na notowana na Helsińskiej Giełdzie Papierów Wartościowych w ramach indeksu NASDAQ OMX Helsinki Ltd.
