WINNKIT Rootkit
WINNKIT är namnet på en av komponenterna som används i ett flerstegs, komplext attackmönster som används av Winntis avancerade ihållande hotaktör.
Winnti-gruppens hotaktör kallas ibland också för APT41. Enligt säkerhetsforskare är detta ett kinesisktalande hackerkollektiv, som påstås ha arbetat med de kinesiska underrättelsetjänsterna och specialiserat sig på cyberspionage.
Attackerna som använder WINNKIT är otroligt komplexa och använder ett antal olika verktyg i samma attack, med det slutliga målet att installera WINNKIT skadliga kärna och rootkit på offersystemet.
De andra verktygen som används i attacken inkluderar en bakdörr som heter Spyder, STASHLOG och SPARKLOG - två verktyg som används för att förvara skadliga krypterade nyttolaster i Windows CLFS eller "common log file system", och slutligen PRIVATELOG och DEPLOYLOG - verktyg som packar upp varandra, med DEPLOYLOG som slutligen packar upp WINNKIT rootkit.
WINNKIT är en drivrutin som fungerar som ett rootkit. Skadlig programvara har en häpnadsväckande låg upptäcktshastighet och kan avlyssna TCP/IP-förfrågningar, och agerar som en kernel-mode-agent på det infekterade systemet.
För att göra upptäckten ännu svårare använder WINNKIT en utgången BenQ-signatur. Detta hjälper skadlig programvara att ta sig runt Windows drivrutinssignaturmekanism.
WINNKIT har ett antal plugins som injiceras i den legitima Windows svchost-processen och används för att ytterligare föra fram skadlig programvaras möjligheter att undvika. Olika moduler har olika syften, allt från förmågan att döda processer på offermaskinen till att ge Winnti fjärrskrivbord åtkomst till det komprometterade systemet.
