IceApple Malware retter seg mot MS Exchange-servere
Sikkerhetsforskere har publisert en detaljert rapport om en ny stamme av skadelig programvare kalt IceApple. IceApple beskrives som et rammeverk etter utnyttelse som gir trusselaktører langvarig tilgang under radaren til kompromitterte systemer.
Et team med infosec-firmaet CrowdStrike undersøkte trusselen og mener skadevaren er knyttet til en trusselaktør med koblinger til Kina, sannsynligvis en som også er statsstøttet.
IceApple-rammeverket er et minnebasert verktøy som også kan kjøres på Internet Information Services (ISS) webserverprogramvare. Verktøyet har vært på radaren til sikkerhetsforskere siden 2021, og tidligere observerte angrep var i tråd med de vanlige målene som Kina velger for nettspionasje.
Rammeverket er ganske stort og komplekst, og består av minst 18 forskjellige moduler som tilbyr forskjellig funksjonalitet. Modulene som er observert blir også kontinuerlig oppdatert, noe som betyr at hele IceApple-trusselen fortsatt er i aktiv utvikling.
IceApple har moduler som tillater katalogoppføring, skriving til og sletting av filer, forespørsler om HTTP, legitimasjonstyveri og fileksfiltrering til fjernkontroller av trusselen.
Den dybdeanalysen viste at IceApple-rammeverket ble utviklet av personer med dyp kunnskap om de misbrukte underliggende systemene, inkludert kunnskap om ISS-funksjonalitet som aldri ble offisielt dokumentert.
Forskere bemerket også at angripere som utnyttet IceApple-rammeverket hadde for vane å gå tilbake til de kompromitterte systemene for å se etter ny utvikling og gjennomføre mer datainnsamling hver par uker.
