Действительная подпись ПО позволяет хакерам обходить средства защиты и устанавливать постоянство.
Исследователи безопасности из ИБ-компании RAT-троян PlugX маскируется под отладчик Windows с открытым исходным кодом под названием «x64dbg» в попытке обойти средства защиты и получить контроль над целевой системой.
Отладчик Windows обычно используется для изучения кода режима ядра и пользовательского режима, дампов аварийных ситуаций или регистров процессора.
PlugX (также известный как Korplug) – модульный имплантат, устанавливаемый после эксплойта, который известен своими многочисленными функциями, в том числе эксфильтрация данных и способность использовать взломанную машину в злонамеренных целях.
Одним из ключевых методов, используемых PlugX, является техника DLL Sideloading, которая заключается в загрузке вредоносной DLL-библиотеки из программного приложения с цифровой подписью, в данном случае из инструмента отладки «x64dbg» (x32dbg.exe).
Эксперты отметили, что действительная цифровая подпись «x32dbg.exe» может сбить с толку некоторые инструменты безопасности, позволяя злоумышленникам оставаться незамеченными, сохранять устойчивость, повышать привилегии и обходить ограничения на выполнение файлов.
Цифровая подпись x64dbg
Устойчивость достигается за счет модификации реестра Windows и создания запланированных задач для обеспечения постоянного доступа даже после перезагрузки системы.
Анализ цепочки атак, проведенный Trend Micro, также выявил использование «x32dbg.exe» для развертывания бэкдора – клиента UDP-shell, который собирает системную информацию и ожидает дополнительных инструкций от удаленного сервера.
Несмотря на прогресс в технологиях безопасности, киберпреступники продолжают использовать технику DLL Sideloading, поскольку она эксплуатирует доверие к легитимным приложениям. Эта техника будет оставаться эффективной для доставки вредоносного ПО и получения доступа к конфиденциальной информации до тех пор, пока системы и приложения будут продолжать доверять и загружать DLL-библиотеки.
