EastWind-campagne richt zich via CloudSorcerer op Russische overheid en IT-organisaties

In een nieuwe golf van cyberaanvallen worden Russische overheidsinstanties en IT-organisaties het doelwit van een geavanceerde spear-phishingcampagne die bekendstaat als EastWind. Deze campagne levert een reeks backdoors en trojans, die Windows-systemen exploiteren via een kwaadaardig Windows-snelkoppelingsbestand (LNK) dat verborgen is in RAR-archiefbijlagen. Wanneer nietsvermoedende gebruikers deze bestanden openen, activeren ze een complexe infectiesequentie die uiteindelijk leidt tot de implementatie van verschillende gevaarlijke malwarevarianten, waaronder GrewApacha, een bijgewerkte versie van de CloudSorcerer-backdoor en een nieuw geïdentificeerd implantaat met de naam PlugY.

Het infectieproces

De EastWind-campagne begint met een ogenschijnlijk onschadelijk LNK-bestand. Dit bestand is echter allesbehalve onschuldig. Het maakt gebruik van DLL-sideloadingtechnieken om een kwaadaardig DLL-bestand uit te voeren, waarbij Dropbox als communicatiekanaal wordt gebruikt. Zodra de infectie actief is, voert het verkenning uit en downloadt het extra payloads.

Onder de ingezette malware bevindt zich GrewApacha , een backdoor die eerder werd geassocieerd met de aan China gelinkte APT31-groep. Deze malware maakt gebruik van een gecompromitteerd GitHub-profiel om een Base64-gecodeerde string op te slaan, die dient als command-and-control (C2)-server.

Een ander belangrijk onderdeel van deze aanval is CloudSorcerer , een zeer geavanceerde cyberespionagetool. Deze backdoor faciliteert geheime monitoring, dataverzameling en exfiltratie door gebruik te maken van populaire cloudservices zoals Microsoft Graph, Yandex Cloud en Dropbox. Het maakt gebruik van een op encryptie gebaseerd beschermingsmechanisme, dat ervoor zorgt dat de malware alleen op de machine van het beoogde slachtoffer wordt geactiveerd door een unieke sleutel te genereren die is afgeleid van de Windows GetTickCount()-functie.

Het laatste stukje malware dat in deze campagne is waargenomen, is PlugY , een volledig uitgeruste backdoor die shell-opdrachten kan uitvoeren, het scherm van het slachtoffer kan monitoren, toetsaanslagen kan registreren en de inhoud van het klembord kan vastleggen. PlugY maakt verbinding met een beheerserver via TCP, UDP of named pipes en vertoont overeenkomsten met een bekende backdoor genaamd DRBControl, die wordt toegeschreven aan China-nexus-bedreigingsactoren zoals APT27 en APT41.

Vermindering en verwijdering

Gezien de complexiteit van de EastWind-campagne is een gelaagde aanpak nodig om deze bedreigingen te beperken en te elimineren:

1. Vermijd het openen van verdachte bestanden: Open geen onverwachte of verdachte bijlagen, vooral niet als ze in de vorm van RAR-archieven of LNK-bestanden komen. Als u zo'n bestand ontvangt, controleer dan de legitimiteit ervan bij de afzender voordat u verdergaat.
2. Gebruik geavanceerde antivirusoplossingen: Gebruik een bijgewerkte antivirusoplossing die geavanceerde bedreigingen zoals GrewApacha, CloudSorcerer en PlugY kan detecteren en verwijderen. Voer een volledige systeemscan uit en verwijder alle gedetecteerde bedreigingen.
3. Update en patch systemen: Zorg ervoor dat uw besturingssysteem, software en beveiligingstools up-to-date zijn met de nieuwste patches. Dit helpt kwetsbaarheden te dichten die malware zoals EastWind kan misbruiken.
4. Monitor netwerkverkeer: controleer netwerkverkeer regelmatig op ongebruikelijke activiteit, met name verbindingen met onbekende C2-servers of cloudservices zoals Dropbox, Microsoft Graph en Yandex Cloud. Verdacht verkeer moet worden onderzocht en geblokkeerd.
5. Isoleer geïnfecteerde systemen: als er een infectie wordt gedetecteerd, isoleer dan onmiddellijk het getroffen systeem van het netwerk om verdere verspreiding te voorkomen. Voer een grondig onderzoek uit om alle sporen van de malware te identificeren en te verwijderen.
6. Verbeter de e-mailbeveiliging: implementeer robuuste e-mailbeveiligingsmaatregelen, waaronder spamfilters, e-mailverificatieprotocollen en training van medewerkers om phishingpogingen te herkennen.

De EastWind-campagne is een grimmige herinnering aan de evoluerende tactieken die cybercriminelen gebruiken om verdedigingen te doorbreken en gevoelige informatie te stelen. Door waakzaam te blijven en een uitgebreide beveiligingsstrategie te gebruiken, kunnen organisaties zichzelf beschermen tegen deze en andere geavanceerde bedreigingen. Zorg ervoor dat uw systemen zijn versterkt tegen deze backdoors en trojans en neem proactieve stappen om tekenen van infectie te detecteren en te verwijderen.