Chinese bedreigingsacteur gekoppeld aan NSPX30-spyware
Een voorheen onbekende bedreigingsacteur met banden met China is geïdentificeerd in een reeks Adversary-in-the-Middle (AitM)-aanvallen, waarbij legitieme software-updateverzoeken worden misbruikt om een geavanceerd implantaat met de naam NSPX30 te leveren. Cybersecurity-experts houden deze geavanceerde persistente dreigingsgroep (APT), ook wel Blackwood genoemd, in de gaten en is naar verluidt al sinds 2018 operationeel.
Er wordt waargenomen dat het NSPX30-implantaat wordt gedistribueerd via de updatemechanismen van bekende software zoals Tencent QQ, WPS Office en Sogou Pinyin. De doelwitten van deze aanvallen zijn onder meer Chinese en Japanse productie-, handels- en engineeringbedrijven, maar ook individuen in China, Japan en het Verenigd Koninkrijk.
Beschreven als een meertraps implantaat, bestaat NSPX30 uit verschillende componenten, waaronder een druppelaar, installatieprogramma, laders, orkestrator en achterdeur, waarbij de laatste twee hun eigen sets plug-ins hebben. Het ontwerp van het implantaat is gericht op het vermogen van aanvallers om pakketten te onderscheppen, waardoor NSPX30-operators hun infrastructuur kunnen verbergen.
Oorsprong van de malware
De oorsprong van de achterdeur is terug te voeren op malware genaamd Project Wood uit januari 2005, die werd gemaakt om systeem- en netwerkinformatie te verzamelen, toetsaanslagen vast te leggen en schermafbeeldingen van slachtoffersystemen vast te leggen. De codebasis van Project Wood diende als basis voor meerdere implantaten, wat in 2008 aanleiding gaf tot varianten als DCM (ook bekend als Dark Spectre). Deze malware werd vervolgens in 2012 en 2014 gebruikt bij aanvallen gericht op personen van belang in Hong Kong en Groot-China.
De nieuwste versie, NSPX30, wordt geleverd via pogingen om software-updates te downloaden via het (niet-versleutelde) HTTP-protocol, wat resulteert in een gecompromitteerd systeem. Een kwaadaardige dropper, onderdeel van het gecompromitteerde updateproces, creëert bestanden op schijf en voert "RsStub.exe" uit, een binair bestand dat geassocieerd is met Rising Antivirus-software. Dit wordt gedaan om "comx3.dll" te starten door gebruik te maken van de gevoeligheid van de eerste voor side-loading van DLL.
"comx3.dll" dient als lader voor het uitvoeren van een bestand met de naam "comx3.dll.txt", dat functioneert als een installatiebibliotheek die de volgende fase van de aanvalsketen activeert. Deze keten culmineert in de uitvoering van de Orchestrator-component ("WIN.cfg"). De methode voor het leveren van de dropper in de vorm van kwaadaardige updates is momenteel onbekend, hoewel eerdere gevallen waarbij Chinese bedreigingsactoren betrokken waren, zoals BlackTech, Evasive Panda, Judgment Panda en Mustang Panda, gecompromitteerde routers hebben gebruikt als middel om malware te verspreiden.
