Κακόβουλο λογισμικό MagicWeb που χρησιμοποιείται από την NOBELIUM APT

Το Κέντρο Πληροφοριών Threat της Microsoft δημοσίευσε μια αναφορά για ένα νέο κακόβουλο λογισμικό που σχετίζεται με έναν ρωσόφωνο προηγμένο παράγοντα επίμονης απειλής, γνωστό με τα ψευδώνυμα APT29, Cozy Bear και, με την ονομασία της ίδιας της Microsoft, με το όνομα NOBELIUM.

Το νέο εργαλείο που χρησιμοποιεί η NOBELIUM ονομάζεται MagicWeb και σύμφωνα με την έκθεση φαίνεται να είναι μια εξέλιξη ενός παλαιότερου κακόβουλου λογισμικού που χρησιμοποιούσε ο ηθοποιός, με το όνομα FoggyWeb. Και τα δύο κομμάτια κακόβουλου λογισμικού στοχεύουν σε πλατφόρμες Active Directory Federation Services (AD FS) και προορίζονται ως κιτ εργαλείων επιμονής μετά τον συμβιβασμό.

Το νέο κακόβουλο λογισμικό MagicWeb χρησιμοποιεί ένα νόμιμο DLL που ανήκει στην πλατφόρμα AD FS και το αντικαθιστά με μια κακόβουλη έκδοση. Αυτό επιτρέπει την τροποποίηση των πιστοποιητικών ελέγχου ταυτότητας και των διακριτικών που δημιουργεί το σύστημα.

Μόλις εγκατασταθεί το κακόβουλο DLL, ο παράγοντας απειλής μπορεί να ελέγξει την ταυτότητα σχεδόν οποιουδήποτε χρήστη στην παραβιασμένη παρουσία AD FS. Ωστόσο, για να εμφυτευθεί το κακόβουλο DLL στην πρώτη θέση, οι χάκερ πρέπει να αποκτήσουν αυξημένη πρόσβαση προνομίων στον διακομιστή, συνήθως μέσω ενός λογαριασμού διαχειριστή.

Η Microsoft δεν παρείχε εκτενή λίστα δεικτών συμβιβασμού, καθώς το NOBELIUM είναι γνωστό για την προσαρμογή της υποδομής του και των ιδιαίτερων «χαρακτηριστικών» κάθε επίθεσης.