Táto PDF čítačka funguje úplne normálne. Na pozadí však otvára hackerom prístup do počítača

Bezpečnostní výskumníci zachytili PDF čítačku QuartzLine, do ktorej útočníci ukryli backdoor. Program normálne otvára dokumenty, no zároveň prijíma príkazy zo vzdialeného servera a umožňuje nasadiť ďalší malvér.

Bezpečnostná spoločnosť Expel narazila na QuartzLine pri vyšetrovaní viacerých incidentov vo firemných sieťach. V jednom z nich útočníci približne týždeň po inštalácii vytiahli z počítača históriu prehliadania z Chrome. Neskôr do systému pridali aj ďalší nástroj na vzdialené ovládanie.

Reklama po kliknutí presmerovala používateľa k QuartzLine

Expel spojil najmenej štyri incidenty s rovnakou presmerovacou doménou. Pri dvoch z nich našli analytici v histórii aj kliknutie na reklamu zobrazenú cez Google Ads.

Používatelia pritom QuartzLine nehľadali. V jednom prípade išlo o formulár so súhlasom, v inom o obyčajný wallpaper. Po kliknutí na reklamu skončili na stránke, odkiaľ si stiahli škodlivý inštalátor. Útok tak nemieril iba na ľudí, ktorí aktívne hľadali nový PDF program.

Po spustení QuartzLine nadviaže spojenie s riadiacim serverom

QuartzLine sa objavoval pod viacerými názvami. Analytici zachytili napríklad súbory paperline.exe a neskôr fielddesk.exe. V programe našli modul zenith, ktorý bezpečnostné databázy spájajú s malvérovou rodinou CLOUDHAZE. Kampaň zatiaľ nebola spoľahlivo pripísaná konkrétnej skupine.

Súvisí s tým

Ruskí hackeri nasadili netradičnú technológiu pri útoku na ukrajinskú firmu zabezpečujúcu logistiku obilia

V jednom z incidentov si používateľ stiahol inštalátor z Amazon S3. QuartzLine sa po spustení zapísal do %LOCALAPPDATA%\QuartzLine\, vytvoril naplánovanú úlohu QuartzlineUpdateCheck a spojil sa s riadiacim serverom.

Modul zenith odtiaľ prijíma ďalšie pokyny. S oprávneniami prihláseného používateľa môže spúšťať príkazy vo Windows a zasahovať do profilov prehliadačov založených na Chromiu, vrátane Chrome a Edge. Vie čítať aj meniť ich súbory a podľa potreby prehliadač ukončiť a znovu spustiť s upraveným profilom.

Útočníci z počítača vytiahli históriu prehliadania z Chrome

Na jednom zo sledovaných počítačov sa QuartzLine objavil 22. septembra. O týždeň neskôr útočníci poslali do systému chrome-history-summarizer-v0.0.1.exe. Program zabalil históriu prehliadania z Chrome do archívu a odoslal ju na Amazon S3.

Útok pokračoval aj v októbri. Dňa 9. októbra útočníci pomocou skriptu replaceInPlace.ps1 vymenili QuartzLine za novšiu verziu. Nasledujúci deň do systému pridali Caira RAT a vytvorili mu vlastnú naplánovanú úlohu CairaServiceCheck.

Expel zachytil Caira RAT aj v inom napadnutom prostredí. Tam si následne stiahol ďalší payload označený ako IronBark.

Backdoor sa skrýval v digitálne podpísanom programe

QuartzLine bol podpísaný EV code-signing certifikátom vystaveným spoločnosti Guangzhou Guoying Communication Technology Co., Ltd. Certifikačná autorita ho neskôr zrušila.

Program pritom vystupoval pod názvami QuartzLine, Paperline Document Viewer a Summit Works, ktoré sa s názvom držiteľa certifikátu nezhodovali. Podobne podpísaný škodlivý softvér už výskumníci zachytili aj pri iných kampaniach. Backdoor bol priamo súčasťou podpísaného súboru.

Riadiaci server počas testu neposlal žiadny škodlivý príkaz

Pri verejnej analýze sa výskumníkom podarilo rozšifrovať komunikáciu QuartzLine s riadiacim serverom. Počas sledovaných relácií však server neposlal programu žiadny škodlivý príkaz. QuartzLine nadviazal spojenie a ďalej nič nevykonal.

Niektoré verejné sandboxy preto vzorku označili ako málo rizikovú alebo čistú. Expel vo firemných sieťach zachytil inú aktivitu. Útočníci tam spúšťali príkazy, vytiahli históriu z Chrome, aktualizovali implantát a nasadili Caira RAT.

QuartzLine zostal v systéme aj po zablokovaní komunikácie

V niektorých prípadoch na QuartzLine upozornil DNS filter alebo webový proxy server, keď sa program pokúšal spojiť s riadiacou infraštruktúrou. Zablokovanie spojenia však súbory ani naplánované úlohy z počítača neodstránilo.

Medzi stopy, ktoré Expel našiel, patria úlohy QuartzlineUpdateCheck, CairaServiceCheck a IronbarkUpdateCheck. V %LOCALAPPDATA%\ sa môžu objaviť aj priečinky QuartzLine, Caira alebo IronBark. Pri ich náleze Expel odporúča zariadenie izolovať od siete.

Po potvrdenej infekcii odporúča zmeniť heslá a prihlasovacie údaje a ukončiť aktívne relácie. Pri analyzovanom incidente výskumníci potvrdili odoslanie histórie z Chrome. Krádež hesiel, cookies alebo session tokenov priamo nepotvrdili.