Kazuar 3.0 die modulare P2P-Taste, die fortbesteht, Camouflagen und stiehlt Intelligenz

Die Umwandlung der Backdoor als Kazuar in ein modulares Botnet-Peer-to-Peer von der russischen Gruppe bekannt als Gefällt mir ändert die Regeln des Spiels für die Verteidigung von öffentlichen und privaten Organisationen: es ist nicht nur ein Access-Tool, sondern eine Plattform für fortbestehen, unbemerkt und extrahieren Intelligenz mit Feinsteuerung durch den Bediener.

Kazuar hat eine lange Geschichte - Forschung geht zurück auf seine Codezeile, bis Mitte 2000 und seine Verwendung seit 2017 dokumentiert ist - und seine Beziehung zu Familien, die auf russische Dienstleistungen wie Turla oder Uroburos zurückzuführen sind, macht jede neue Technik zu einem Indikator für eine hochmoderne Kampagne. Die relevanteste Änderung der letzten Variante ist die dreimodulige Architektur (Kernel, Bridge und Worker), die interne Wahlen eines "Leiters" innerhalb des kompromittierten Netzwerks ermöglicht und das das Rauschen externer Kommunikation drastisch reduziert, indem es sie auf einen einzigen Knoten konzentriert.

Dieser Führer / gewähltes Design und die Verwendung von legitimen internen Windows IPC-Kanäle wie benannte Pipes, Mailslots und Windows-Nachrichten, verschlüsselt mit AES und verpackt mit Protobuf, suchen Mischen mit normaler Telemetrie und evade Kontrollen auf Basis von Signaturen oder ausgehenden Verkehrsspitzen. Das Bridge-Modul fungiert als Proxy für die C2 mit HTTP, WebSockets oder Exchange Web Services (EWS), während die Workers die Sammlung ausführen: Keylogging, Screenshots, Post und Dokumentsuche und -extraktion, Netzwerkerkennung und Prozessinjektionstechniken.

Die praktische Konsequenz für Verteidiger ist klar: traditionelle Techniken auf der Grundlage von Unterschriften oder Warnungen durch mehrere Hosts, die aussprechen, verlieren Effizienz. Die Bedrohung ist hartnäckig und gerichtet, zielt darauf ab, Posten und Dokumente von politischem oder strategischem Wert für lange Zeiträume anzusammeln, so frühe Erkennung und schnelle Eindämmung sind kritisch.

Auf betrieblicher und technischer Ebene ist es zweckmäßig, die Verhaltenserkennung und bereicherte Telemetriefähigkeiten zu priorisieren: Prozessverhaltensmuster, Korrelation von ungewöhnlichen IPC-Ereignissen, Vervielfältigung von Prozessen, die Injektionen durchführen, Erstellung von Staging-Geräten in Festplatte und Daten steigen von einem einzigen Ausgabepunkt. Exchange-Aufzeichnungen und -Proxies für unerwarteten WebSocket- und EWS-Verkehr sollten überprüft werden, und was Hosts als die einzigen externen Emitter innerhalb von Segmenten fungieren, die andererseits meist intern sind.

Die spezifischen Maßnahmen, die von Sicherheitsteams implementiert werden sollten, umfassen die Stärkung von EDR-Kontrollen mit Leistungsregeln, die Aktivierung und Zentralisierung von Windows-Logs (einschließlich Prozessereignissen, AMSI / ETW / WLDP, falls vorhanden) um Bypasses, Block oder Einschränkung von EWS zu erkennen, wenn nicht erforderlich, strenge Egress-Filterung und erlaubte Proxies und Firewalls-Listen anzuwenden, und Segment-Netzwerke, um die Möglichkeit zu verringern, die Möglichkeit, dass ein interner Führer Informationen aus dem gesamten Subnetwork entlasten zu entlasten.

Es reicht nicht aus, Patches und Unterschriften zu haben: Es muss angenommen werden, dass eine solche Infektion versucht, auffällig zu bleiben und sich seitlich zu bewegen. Aus diesem Grund sind die Hygiene von Anmeldeinformationen, Multifaktor im administrativen Zugriff, die Rotation von Geheimnissen, die Überprüfung von Konten mit persistenten Privilegien und Antwortplänen, die eine schnelle Isolation, forensische Erfassung und Wiederherstellung von verifizierten Kopien enthalten, unerlässlich. Es wird auch empfohlen, Exchange-Konfigurationen zu überprüfen und alte oder unnötige Dienste zu mildern, die für verdeckte Kommunikation verwendet werden können.

Für diejenigen, die technische Forschung und offizielle Empfehlungen vertiefen müssen, veröffentlichte Microsoft eine detaillierte Analyse dieser Kazuar-Variante, die seine Architektur- und Konfigurationsmöglichkeiten beschreibt, nützlich, um Erkennungen zu priorisieren: Microsoft: Kazuar - Anatomie eines Nationalstaates Botnet. Darüber hinaus bietet die Sammlung der Gruppe MITRE ATT & CK für den Kontext von Gruppen mit historischen Überschneidungen und Spionagetaktiken eine nützliche Kartierung von Techniken und Verfahren: MITRE ATT & CK - Turla (G0010).

Letztlich erinnert die Entstehung einer modularen P2P-Plattform wie Kazuar daran, dass Intelligenzoperationen, die Regierungen und Diplomatie angreifen, eine Verteidigungsposition erfordern, die tiefe Telemetrie, Segmentierung, Ausstiegskontrollen und regelmäßige Erkennungs- und Antwortübungen kombiniert. Die Erkennung eines "Führers", der ausspricht und interne verschlüsselte IPC-Muster kann das Signal sein, eine Kampagne zu unterbrechen, bevor sensible Datenvolumina ausgefiltert wurden.