🔥 Новый сэмпл APT-Q-27: Легитимные подписи и DLL Side-Loading
Обнаружен свежий образец китайской группировки APT-Q-27, демонстрирующий классические техники обхода средств защиты (Defense Evasion).
Как устроена цепочка атаки:
1. Дроппер с подписью: Вредонос подписан валидной цифровой подписью компании «广州栩冠科技有限公司» (на данный момент сертификат не отозван). Дроппер стучится на C2, забирает список дополнительных модулей и обрабатывает их в зависимости от расширения.
2. DLL Side-Loading через Tencent: Для выполнения основного пейлоада атакующие используют уязвимость DLL Side-Loading в легитимном исполняемом файле, который подписан доверенным сертификатом «Tencent Technology (Shenzhen) Company Limited».
Использование доверенного софта от Tencent позволяет вредоносу успешно маскироваться в процессах и обходить базовые EDR/AV-решения.
📊 Индикаторы компрометации (IoCs):
Хэши (MD5):
Управляющие серверы (C2):
#ThreatIntel #APT #MalwareAnalysis #SideLoading
P.S. Я напоминаю о том, что у меня есть аккаунт в X, буду рад видеть вас в качестве читателей там - https://x.com/askardyuss
Обнаружен свежий образец китайской группировки APT-Q-27, демонстрирующий классические техники обхода средств защиты (Defense Evasion).
Как устроена цепочка атаки:
1. Дроппер с подписью: Вредонос подписан валидной цифровой подписью компании «广州栩冠科技有限公司» (на данный момент сертификат не отозван). Дроппер стучится на C2, забирает список дополнительных модулей и обрабатывает их в зависимости от расширения.
2. DLL Side-Loading через Tencent: Для выполнения основного пейлоада атакующие используют уязвимость DLL Side-Loading в легитимном исполняемом файле, который подписан доверенным сертификатом «Tencent Technology (Shenzhen) Company Limited».
Использование доверенного софта от Tencent позволяет вредоносу успешно маскироваться в процессах и обходить базовые EDR/AV-решения.
📊 Индикаторы компрометации (IoCs):
Хэши (MD5):
8838DF7298ABF4D4312648E2EE80BDEE — EXE Dropper (подписанный)C0ACA5DFBBFCB1C9796B3D974B1EE78B — DLL Loader (подписанный)1D1808686DBF36138F3067C34566D627 — DAT Payload130FBE74FEA31B30B59B071CCF22BF68 — Легитимный файл Tencent (подписанный)Управляющие серверы (C2):
hxxps[:]//storage.googleapis[.]com/snapshothelper/he.txthxxp://api.keensie[.]com:5198/#ThreatIntel #APT #MalwareAnalysis #SideLoading
P.S. Я напоминаю о том, что у меня есть аккаунт в X, буду рад видеть вас в качестве читателей там - https://x.com/askardyuss
🔥5