Wiadomości

W połowie grudnia 2020 r. firmy FireEye, Microsoft oraz SolarWinds poinformowały o wykryciu dużego, wyrafinowanego ataku na łańcuch dostaw, w którym wykorzystano nieznane wcześniej szkodliwe oprogramowanie - Sunburst - i którego ofiarą padli klienci oprogramowania Orion firmy SolarWinds. Eksperci z firmy Kaspersky zidentyfikowali różne podobieństwa w kodzie pomiędzy szkodnikiem Sunburst oraz znanymi wersjami backdoora Kazuar, zapewniającego atakującym zdalny dostęp do urządzeń ofiar. Nowe ustalenia ujawniają szczegóły, które mogą pomóc badaczom w dochodzeniach związanych z tym atakiem.

Badając backdoora wykorzystanego przez szkodnika Sunburst, eksperci z firmy Kaspersky odkryli wiele cech wspólnych ze szkodnikiem Kazuar, który został wcześniej zidentyfikowany jako backdoor napisany przy użyciu platformy .NET Framework. Po raz pierwszy poinformowała o nim firma Palo Alto w 2017 r., a sam szkodnik był wykorzystywany w atakach cyberszpiegowskich na całym świecie. Liczne podobieństwa w kodzie sugerują związek pomiędzy Kazuarem oraz Sunburstem, aczkolwiek charakter powiązania nie został jeszcze określony.

Szkodniki łączy m.in. algorytm generowania identyfikatorów użytkownika (UID) odnoszących się do ofiar, podobieństwa w kodzie odpowiadającym za pozostawanie szkodnika w uśpieniu w pierwszej fazie ataku oraz intensywne wykorzystywanie funkcji skrótu FNV1a. Po pojawieniu się szkodnika Sunburst w lutym 2020 r. Kazuar ciągle ewoluował i podobieństwa obserwowane w jego wersjach z późniejszej części ubiegłego są jeszcze większe.

Eksperci z firmy Kaspersky zaobserwowali ciągły rozwój szkodnika Kazuar w okresie jego ewolucji, łącznie z pojawianiem się nowych, istotnych funkcji wskazujących na podobieństwo ze szkodnikiem Sunburst. Chociaż podobieństwa te są godne uwagi, mogą one wynikać z kilku przyczyn: Sunburst mógł zostać stworzony przez to samo ugrupowanie co Kazuar; twórcy Sunbursta mogli wykorzystać Kazuara jako inspirację; twórca Kazuara mógł dołączyć do zespołu, który stworzył Sunbursta; lub też ugrupowania stojące za Sunburstem i Kazuarem mogły uzyskać kod źródłowy szkodnika z tego samego źródła.

Zidentyfikowany związek nie wystarczy, aby wskazać sprawcę ataku na firmę SolarWinds, jednak dzięki temu, że rzuca nieco więcej światła, może pomóc badaczom osiągnąć postępy w prowadzonych dochodzeniach. Uważamy, że badacze powinni przyjrzeć się tym podobieństwom i spróbować odkryć nowe fakty dotyczące backdoora Kazuar oraz pochodzenia Sunbursta - szkodnika wykorzystanego w ataku na firmę SolarWinds. Pamiętajmy, że w przypadku ataku Wannacry na początku istniało niewiele faktów pozwalających powiązać go z ugrupowaniem Lazarus. Z czasem jednak pojawiło się więcej dowodów. Konieczne są zatem dalsze badania w tym zakresie. Dzięki nim będzie można połączyć wszystkie puzzle - powiedział Costin Raiu, dyrektor Globalnego Zespołu ds. Badań i Analiz (GReAT) w firmie Kaspersky.

źródło: Kaspersky