В ходе расследования инцидента с SolarWinds обнаружено новое вредоносное ПО

ИБ-специалисты из Symantec (подразделения Broadcom) обнаружили новую вредоносную программу, которая использовалась финансируемыми иностранным правительством хакерами в ходе атак на разработчика ПО SolarWinds.

Инструмент, получивший название Raindrop, представляет собой загрузчик маяков Cobalt Strike. Raindrop имеет большое сходство с уже известным инструментом Teardrop, но между ними есть некоторые ключевые различия. Хотя Teardrop был доставлен с помощью бэкдора Sunburst, Raindrop, похоже, использовался для распространения по сети жертвы. На сегодняшний день Symantec не обнаружила свидетельств того, что Raindrop доставляется напрямую через Sunburst .

Бэкдор Sunburst был установлен на двух компьютерных системах одной из жертв в результате атаки на цепочку поставок SolarWinds. На следующий день на одном из этих компьютеров был установлен Teardrop. На этом компьютере был обнаружен инструмент для осуществления запросов в активный каталог, а также дампер учетных данных, разработанный специально для баз данных SolarWinds Orion.

Одиннадцать дней спустя на третьем компьютере жертвы в организации, где ранее не наблюдалось вредоносной активности, была установлена ​​копия Raindrop под названием bproxy.dll. На компьютере было запущено программное обеспечение для доступа к системе и управления ею. Злоумышленники могли использовать это программное обеспечение для доступа к любому из компьютеров скомпрометированной организации. Через час вредоносная программа Raindrop установила дополнительный файл под названием «7z.dll». Экспертам не удалось получить этот файл, однако через несколько часов легитимная версия 7zip была использована для извлечения копии того, что выглядело как внутренние компоненты служб каталогов (DSInternals), на компьютер. DSInternals — легитимный инструмент для запроса серверов Active Directory и получения данных, обычно паролей, ключей или хэшей паролей.

Позже злоумышленники установили на этот компьютер дополнительный инструмент под названием mc_store.exe, представляющий собой неизвестное приложение PyInstaller. Никакой дальнейшей активности на этом компьютере не наблюдалось.

Raindrop похож на Teardrop в том, что оба вредоносных ПО действуют в роли загрузчиков маяков Cobalt Strike. Raindrop скомпилирован как DLL, созданная из модифицированной версии исходного кода 7-Zip.

Хотя оба семейства вредоносных программ предназначены для развертывания маяков Cobalt Strike, существуют различия в конфигурации Cobalt Strike. На сегодняшний день Symantec выявила четыре образца Raindrop. В трех случаях Cobalt Strike был настроен на использование HTTPS в качестве протокола связи. В четвертом он был настроен на использование SMB Named Pipe в качестве протокола связи.

Все три образца Raindrop, использующие связь HTTPS, следуют шаблонам конфигурации, сходным с одним из ранее обнаруженных образцов Teardrop.