Уже все про это написали, но мы не можем пройти мимо.
Практически одновременно
Microsoft и
FireEye выпустили отчеты в отношении новых вредоносов, которые были обнаружены в рамках расследования атаки
Sunburst на IT-разработчика
SolarWinds.
Microsoft побеждает со счетом 3:1. Что же они нашли.
1. Бэкдор второго уровня, который по версии
Microsoft называется
GoldMax, а в отчете
FireEye именуется
Sunshuttle - скорее всего это один и тот же вредонос. Написан на
Go после апреля 2020 года,
FireEye говорят, что он был в зараженной сети в августе 2020. Они же не подтверждают однозначную связь бэкдора с
UNC2542, как называют группу, стоящую за атакой
Sunburst.
Microsoft более категоричны и называют автором
GoldMax именно группу
Nobelium, так теперь они именуют организатора атаки. Они, судя по отчету, обладают большими первичными данными и отловили
GoldMax у нескольких жертв сразу. Время размещения вредоносов во взломанных сетях - с июня по сентябрь 2020 года.
Из интересного - механизмы сокрытия канала связи вредоноса с управляющим центром, когда бэкдор связывается сразу с несколькими легальными сайтами, чтобы скрыть С2, а последний шлет команды через cookie.
2. Бэкдор
Sibot на основе
VBScript предназначенный для обеспечения постоянного присутствия на зараженной машине.
Microsost нашли три варианта
Sibot.
3. Модуль
GoldFinger, также написанный на
Go и предназначенный для HTTP-трассировки маршрута до управляющего центра.
Как обычно, про TTPs, которые могут свидетельствовать о принадлежности атаки российской APT - ни слова.