Новооткрита задна врата (backdoor) за Windows предоставя на свързана с Източна Азия шпионска операция дискретен начин за засилване на контрола в рамките на атакуваните мрежи.

Именуван BINDCLOAK, модулният имплант се внедрява след първоначалния достъп и може да стартира зловреден код, използвайки по-мощни потребителски или процесни акаунти.

Кампанията е насочена към правителствени структури в Близкия изток, с особен фокус върху енергийния сектор.

Атакуващите са използвали многостепенна верига, която започва с ISO файл и легитимно изглеждащи компоненти на Windows, преди да достави компонентите TELESHIM, MIXEDKEY и накрая BINDCLOAK.

Свързан доклад за контролери на задни врати чрез ботове в Telegram обяснява как по-ранният компонент TELESHIM е помогнал на операторите да управляват компрометираните системи.

Анализаторите от Zscaler идентифицираха BINDCLOAK като недокументирана досега 64-битова задна врата за Windows, написана на C.

Zscaler посочва в доклад, споделен с Cyber Security News (CSN), че зловредният код е бил декриптиран и зареден чрез рефлективно зареждане (reflective loading) от MIXEDKEY по време на дейностите след компрометирането.

Разкритието показва как атакуващите могат да превърнат откраднатите токени за достъп на Windows в практически инструмент за ескалация на привилегии.

Вместо да разчита единствено на софтуерна уязвимост, BINDCLOAK събира наличните токени и ги използва за стартиране на своите модули с правата на акаунт с по-високи привилегии.

BINDCLOAK краде потребителски и процесни токени на Windows

BINDCLOAK разполага с команди за събиране на потребителски токени, инспектиране на работещи процеси и идентифициране на токени, които могат да бъдат копирани или присвоени на нови процеси.

Той може да се опита да влезе в системата с предоставени идентификационни данни, да запази успешния потребителски токен и по-късно да го използва за стартиране на избран модул.

Задната врата също така изследва активните процеси за техните идентификатори (ID), детайли за акаунта и разрешения за токени.

Това позволява на оператора да избере процесен токен, който може да предложи по-силен достъп, след което да го дублира и да стартира модул на BINDCLOAK в този контекст на сигурност.

Този подход е особено опасен, тъй като злоупотребата с токени за достъп може да се слее с нормалното поведение на Windows.

Скорошни проучвания на ескалацията на привилегии в Windows също показват как придобиването на достъп на ниво SYSTEM може да даде на атакуващия широк контрол над засегнатата машина.

След като даден модул получи токен с по-високи привилегии, BINDCLOAK извиква функцията на Windows ImpersonateLoggedOnUser, така че дейността му да се изпълнява под този акаунт.

Зловредният код може също да спира, премахва и заменя модули, което помага на киберпрестъпниците да настройват своите инструменти, без да преинсталират цялата задна врата.

Модулната задна врата избягва засичането

BINDCLOAK комуникира със своя команден сървър чрез TLS върху TCP, използвайки персонализирана система за маршрутизиране на съобщения.

Неговите съобщения са компресирани, двойно криптирани с ротиращи XOR ключове, допълнени с произволни данни и след това доставени до съответния вътрешен модул.

Зловредният код събира широк набор от информация за хоста при първото си свързване, включително версията на операционната система, името на компютъра, потребителското име, името на хоста, локалния IP адрес и локалното време.

Това дава на атакуващите бърз поглед върху всяка заразена система, преди да решат кои команди или плъгини да внедрят.

Неговият зареждач на плъгини (plugin loader) заделя памет с разрешения за четене, запис и изпълнение, след което зарежда допълнителни DLL модули директно в паметта.

За да избегне предупрежденията за сигурност, той използва RtlQueueWorkItem за извикване на LoadLibraryW – техника, предназначена да направи подозрителното поведение при зареждане по-малко забележимо за инструментите за сигурност на крайните устройства.

Подобни опасения възникват и когато атакуващите злоупотребяват с легитимни процеси за инжектиране на зловреден DLL код, което може да скрие кода зад доверена дейност на Windows.

Изследователите оценяват с висока степен на увереност, че BINDCLOAK е вариант на задната врата OctLurk, позовавайки се на сходства в кода и припокриваща се инфраструктура за командване и контрол.

Същият злонамерен субект изглежда е разширил обхвата си от Централна Азия към цели в Близкия изток, което подчертава необходимостта от преглед на необичайната употреба на токени, неочакваното зареждане на DLL файлове и подозрителните изходящи TLS връзки.

Екипите по сигурността трябва да разследват непознати ISO файлове, необичайни планирани задачи, DLL файлове, поставени до доверени изпълними файлове, и процеси, стартиращи под неочаквани потребителски контексти.

Мониторингът на аномален достъп до процесни токени и прегледът на подозрителна активност на уеб сървъра също могат да подпомогнат по-широки разследвания на многоплатформени прониквания.