Chinesischer Bedrohungsakteur setzt Melofee-Malware ein, um Linux-Systeme auszuspionieren
ExaTrack, ein in Frankreich ansässiges Cybersicherheitsunternehmen, hat vor einem neu identifizierten Linux-Implantat namens „Melofee“ gewarnt, das von der chinesischen Cyberspionagegruppe Winnti für gezielte Angriffe verwendet wurde.
Melofee wurde entwickelt, um auf Linux-Server abzuzielen, und wird über Shell-Befehle installiert, ähnlich wie andere von Winnti verwendete Linux-Rootkits. Die Malware enthält ein Kernelmodus-Rootkit, das eine modifizierte Version des Open-Source-Projekts Reptile ist. Melofee-Beispiele wurden identifiziert und sie haben eine gemeinsame Codebasis, weisen jedoch kleine Änderungen in Verschlüsselung, Kommunikationsprotokoll und Funktionalität auf. Die neueste Version der Malware enthält ein Kernelmodus-Rootkit. Die Infektionskette für Melofee umfasst die Verwendung von Shell-Befehlen, um ein Installationsprogramm und eine benutzerdefinierte Binärdatei von einem vom Angreifer kontrollierten Server herunterzuladen. Das in C++ geschriebene Installationsprogramm installiert sowohl das Rootkit als auch das Serverimplantat und stellt sicher, dass beide beim Booten ausgeführt werden.
Das Implantat kann mehrere Aktionen ausführen, darunter das Beenden seines Prozesses und das Entfernen von Persistenz, das Aktualisieren von sich selbst, das Exfiltrieren von Systeminformationen, das Starten einer Shell und das Erstellen/Löschen von Verzeichnissen. Melofee kann über TCP kommunizieren, ein benutzerdefiniertes Paketformat verwenden und Daten über das KCP-Protokoll senden. Die Analyse der Infrastruktur von Melofee durch ExaTrack ergab Verbindungen zu C&C-Servern, die von anderen Malware-Familien wie ShadowPad, Winnti und HelloBot verwendet werden. ExaTrack entdeckte auch ein Linux-Implantat namens „AlienReverse“, das Ähnlichkeiten mit dem Code von Melofee aufwies, aber vermutlich eine eigenständige Malware-Familie ist.
Was ist die Winnti Chinese APT?
Die Winnti Group ist eine chinesische Advanced Persistent Threat (APT), die seit mindestens 2010 aktiv ist. Die Gruppe ist bekannt für ihre ausgeklügelten Cyber-Spionage-Kampagnen und wurde mit zahlreichen hochkarätigen Angriffen auf Ziele in verschiedenen Branchen, einschließlich Gaming, in Verbindung gebracht , Gesundheitswesen, Technologie und Telekommunikation. Die Winnti-Gruppe wurde mit dem Diebstahl von geistigem Eigentum, Quellcode und anderen sensiblen Informationen in Verbindung gebracht, die dann wahrscheinlich für kommerzielle Zwecke oder zur Unterstützung der Interessen der chinesischen Regierung verwendet werden.
Die Gruppe wurde auch mit dem Einsatz von Supply-Chain-Angriffen in Verbindung gebracht, bei denen sie auf Softwareanbieter und andere Drittanbieter abzielt, um Zugang zu den Netzwerken ihrer Kunden zu erhalten. Insgesamt gilt die Winnti-Gruppe als eine der fortschrittlichsten und produktivsten APT-Gruppen, die von China aus operieren.
