WINNKIT Rootkit
WINNKIT er navnet på en av komponentene som brukes i et flertrinns, komplekst angrepsmønster som brukes av Winnti avanserte vedvarende trusselaktør.
Winnti-gruppens trusselaktør blir også noen ganger referert til som APT41. Ifølge sikkerhetsforskere er dette et kinesisktalende hackerkollektiv, som angivelig jobber med de kinesiske etterretningstjenestene og spesialiserer seg på cyberspionasje.
Angrepene som bruker WINNKIT er utrolig komplekse og bruker en rekke forskjellige verktøy i samme angrep, med det ultimate målet å installere den ondsinnede WINNKIT-kjernen og rootkit på offersystemet.
De andre verktøyene som ble brukt i angrepet inkluderer en bakdør kalt Spyder, STASHLOG og SPARKLOG - to verktøy som brukes til å gjemme ondsinnede krypterte nyttelaster inne i Windows CLFS eller "common log file system", og til slutt PRIVATELOG og DEPLOYLOG - verktøy som pakker ut hverandre, med DEPLOYLOG som til slutt pakker ut WINNKIT rootkit.
WINNKIT er en driver som fungerer som et rootkit. Skadevaren har en svimlende lav deteksjonsrate og er i stand til å avskjære TCP/IP-forespørsler, og fungerer som en kjernemodusagent på det infiserte systemet.
For å gjøre deteksjon enda vanskeligere, bruker WINNKIT en utløpt BenQ-signatur. Dette hjelper skadelig programvare med å komme seg rundt Windows-driversignaturmekanismen.
WINNKIT har en rekke plugins som injiseres i den legitime Windows svchost-prosessen og brukes til å videreutvikle skadevareens unnvikelsesevner. Ulike moduler har forskjellige formål, alt fra muligheten til å drepe prosesser på offermaskinen til å gi Winnti eksternt skrivebord tilgang til det kompromitterte systemet.
