Die Plüschdämonen schlagen zurück: Gekaperte Updates laden gefährliche Backdoor

ESET Forscher geben Einblicke in die Art und Weise, wie PlushDaemon "Adversary-in-the-Middle"-Angriffe durchführt. Dabei kommt ein bisher nicht dokumentiertes Netzwerkimplantat zum Einsatz, das sie EdgeStepper genannt haben. Es kann alle DNS-Anfragen an einen externen, böswilligen Hijacking-Knoten umleiten, wodurch der Datenverkehr von der legitimen Infrastruktur, die für Software-Updates verwendet wird, auf die vom Angreifer kontrollierten Server umgeleitet wird.

Die wichtigsten Punkte in diesem Blogpost:

• ESET Forscher haben das Netzwerkimplantat EdgeStepper analysiert, um zu verstehen, wie PlushDaemon-Angreifer ihre Ziele kompromittieren.
• Die Experten haben zudem LittleDaemon und DaemonicLogistics analysiert, zwei Downloader, die die SlowStepper-Backdoor der Gruppe auf Windows-Rechnern installieren.

PlushDaemon-Profil

PlushDaemon ist eine mit China verbündete Hackergruppe, die seit mindestens 2018 aktiv ist und Spionageoperationen gegen Einzelpersonen und Einrichtungen in China, Taiwan, Hongkong, Kambodscha, Südkorea, den Vereinigten Staaten und Neuseeland durchführt. PlushDaemon verwendet eine benutzerdefinierte Backdoor, SlowStepper. Die Masche der Gruppe besteht darin, legitime Updates zu kapern, auf von Angreifern kontrollierte Server umzuleiten. Darüber hinaus hat ESET beobachtet, dass die Gruppe sich über Schwachstellen in Webservern Zugang verschafft und im Jahr 2023 einen Supply-Chain-Angriff durchgeführt hat.

Überblick

Im Jahr 2024 stellten wir bei der Untersuchung von PlushDaemons Aktivitätsclustern (einschließlich der Kompromittierung eines südkoreanischen VPN-Dienstes über die Lieferkette) fest, dass eine an VirusTotal übermittelte ELF-Datei zwei Subdomänen aus der Infrastruktur von PlushDaemon enthielt. Diese Datei mit der Bezeichnung bioset wurde zuvor auf einem Server gehostet, der wahrscheinlich von mehreren Bedrohungsakteuren kompromittiert wurde. Am Tag der Übermittlung an VirusTotal twitterte ein Forscher (@James_inthe_box) über ein offenes Verzeichnis auf dem Server, auf dem bioset gehostet wurde, so dass die Probe wahrscheinlich von einem Forscher auf VirusTotal hochgeladen wurde, der den Inhalt des Verzeichnisses untersuchte.

Intern von seinen Entwicklern als dns_cheat_v2 bezeichnet - und von uns mit dem Codenamen EdgeStepper versehen - ist bioset das Adversary-in-the-Middle-Werkzeug von PlushDaemon, das den DNS-Verkehr von Rechnern in einem Zielnetzwerk an einen bösartigen DNS-Knoten weiterleitet. Auf diese Weise können die Angreifer den Datenverkehr von Software-Updates an einen Hijacking-Knoten umleiten, der der legitimen Software Anweisungen zum Herunterladen eines bösartigen Updates gibt.

Viktimologie

Abbildung 1 zeigt die geografische Verteilung der Opfer von PlushDaemon, die laut ESET-Telemetrie seit 2019 durch bösartige Updates kompromittiert wurden.

PlushDaemon hat Einzelpersonen und Organisationen in den folgenden Regionen kompromittiert:

• Vereinigte Staaten (2019)
• Taiwan (2021, 2024)
• China (2021-2024), darunter eine Universität in Peking und ein taiwanesisches Unternehmen, das Elektronik herstellt
• Hongkong (2023)
• Neuseeland (2023)
• Kambodscha (2025), darunter ein Unternehmen aus dem Automobilsektor und eine Niederlassung eines japanischen Unternehmens aus dem verarbeitenden Gewerbe

Überblick über Adversary-in-the-middle-Angriffe

Zunächst kompromittiert PlushDaemon ein Netzwerkgerät (z. B. einen Router), mit dem sich das Ziel verbinden könnte. Die Kompromittierung erfolgt wahrscheinlich durch Ausnutzung einer Software-Schwachstelle auf dem Gerät oder durch schwache Standard-Administrations-Credentials, die es den Angreifern ermöglichen, EdgeStepper (und möglicherweise andere Tools) einzusetzen.

EdgeStepper beginnt mit der Umleitung von DNS-Anfragen an einen bösartigen DNS-Knoten, der prüft, ob die Domäne (z. B. info.pinyin.sogou.com von Sogou Pinyin) in der DNS-Anfragenachricht mit Software-Updates zusammenhängt. Wenn ja, antwortet er mit der IP-Adresse des Hijacking-Knotens. Alternativ dazu haben wir auch beobachtet, dass einige Server sowohl der DNS-Knoten als auch der Hijacking-Knoten sind; in diesen Fällen antwortet der DNS-Knoten auf DNS-Anfragen mit seiner eigenen IP-Adresse.

Da wir uns eingehend mit dem Hijacking von Sogou Pinyin-Software befasst haben, werden wir diese Software von nun an als Beispiel verwenden. Auch bei vielen anderen beliebten chinesischen Softwaretiteln werden die Updates auf ähnliche Weise von PlushDaemon über EdgeStepper gekapert.

Abbildung 2 veranschaulicht die ersten Stadien des Einsatzes der Fähigkeiten von PlushDaemon.

Die Aktualisierungssoftware kommuniziert über HTTP mit dem Hijacking-Knoten anstelle der legitimen Sogou-Infrastruktur; der Hijacking-Knoten antwortet mit Anweisungen, z. B. eine DLL-Datei von http://ime.sogou.com/popup_4.2.0.2246.dll herunterzuladen (siehe Abbildung 3).

Die Software sendet eine HTTP-GET-Anfrage an ime.sogou.com, um zu versuchen, die DLL zu erhalten; die Kommunikation wird jedoch erneut an den Hijacking-Knoten umgeleitet, der popup_4.2.0.2246.dll bereitstellt, bei dem es sich in Wirklichkeit um die LittleDaemon-DLL handelt. Der Vorgang ist in Abbildung 4 dargestellt.

Abbildung 5 zeigt den Hijacking-Knoten, der LittleDaemon bedient.

EdgeStepper

Den Symbolen in der Binärdatei zufolge wurde EdgeStepper ursprünglich dns_cheat_v2 genannt. Er wurde in Go unter Verwendung des Open-Source-Frameworks GoFrame entwickelt und als ELF-Datei für MIPS32-Prozessoren kompiliert. Es ist wichtig anzumerken, dass es unwahrscheinlich ist, dass EdgeStepper die einzige Komponente ist, die auf dem kompromittierten Netzwerkgerät eingesetzt wird. Leider liegen uns keine Beispiele für andere Komponenten in der Kompromittierungskette vor.

EdgeStepper beginnt mit dem Abrufen und Entschlüsseln von Konfigurationsdaten aus /etc/bioset.conf. Für die Entschlüsselung wird AES CBC verwendet, wobei der Schlüssel und der IV aus der Zeichenkette I Love Go Frame! bestehen, die als Standard-IV in der Implementierung der GoFrame-Bibliothek verwendet wird.

Die entschlüsselte Konfiguration zeigt die in Abbildung 6 dargestellten Daten.

[cheat]
toPort = 1090
host = "ds20221202.dsc.wcsset[.]com"

Abbildung 6. Entschlüsselte Konfiguration

Die Bedeutung der Parameter ist wie folgt:

• toPort gibt den Port an, an dem EdgeStepper lauschen soll, und
• host gibt die Domäne an, die aufgelöst wird, um die IP-Adresse(n) des DNS-Knotens zu erhalten, an den die DNS-Abfragepakete weitergeleitet werden.

Zusätzlich gibt es einen Konfigurationsblock (Abbildung 7) in der EdgeStepper-Binärdatei, auf den anscheinend nirgendwo im Code verwiesen wird. Die Domäne im Host-Feld lautet test.dsc.wcsset[.]com, die zu 47.242.198[.]250 aufgelöst wird. Wir haben diese IP-Adresse von 2021 bis 2022 als Quelle der bösartigen Aktualisierung beobachtet: den Hijacking-Knoten. Zum Zeitpunkt der Erstellung dieses Berichts wird die Domäne zu dieser IP-Adresse aufgelöst.

Nach dem Laden der Konfiguration initialisiert EdgeStepper das Distributor-System und das Ruler-System .

Verteiler

Der Distributor löst die IP-Adresse(n) auf, die mit dem Domain-Wert im Host-Feld der Konfiguration verbunden sind, und ruft das Ruler-System auf. Der Arbeitsablauf des Distributors ist in Abbildung 8 dargestellt.

1. Über das Ruler-System leitet der Verteiler den Datenverkehr an Port 53 auf Port 1090 um und etabliert sich so als DNS-Proxy.
2. Wenn eine DNS-Nachricht vom Gerät eines potenziellen Opfers empfangen wird, prüft er, ob die Nachricht RFC-konform ist (wahrscheinlich nur, um zu überprüfen, ob das Paket wirklich vom DNS-Protokoll stammt).
3. Dann leitet es das Paket an den bösartigen DNS-Knoten weiter.
4. Schließlich leitet es die Antwort des DNS-Knotens an das Gerät weiter.

Herrscher

Das Ruler-System verwendet den iptables-Befehl, um neue Regeln aufzustellen und sie nach Abschluss des Angriffs zu entfernen. Zunächst wird eine Regel erstellt, die den gesamten UDP-Verkehr an Port 53 des Geräts auf den in der Konfiguration mit toPort angegebenen Port umleitet:

iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-port <Wert_vom_toPort>

Dann gibt es einen Befehl aus, um die Pakete an diesem Port anzunehmen:

iptables -t filter -I INPUT -p udp --dport <Wert_von_nachPort> -j ACCEPT

Beim Beenden werden die vorhergehenden Regeln, die durch die Befehle erstellt wurden, entfernt:

iptables -t nat -D PREROUTING *

iptables -t filter -D INPUT -p udp -dport <Wert_von_bisPort> -j ACCEPT

LittleDaemon

LittleDaemon ist die erste Stufe, die durch gekaperte Updates auf dem Rechner des Opfers installiert wird. Wir haben sowohl DLL- als auch ausführbare Versionen beobachtet, beides 32-Bit-PEs. Der Hauptzweck von LittleDaemon ist die Kommunikation mit dem Hijacking-Knoten, um den Downloader zu erhalten, den wir DaemonicLogistics nennen. LittleDaemon stellt keine Persistenz her.

Zunächst prüft er, ob die SlowStepper-Backdoor auf dem System läuft. Ist dies nicht der Fall, lädt LittleDaemon DaemonicLogistics herunter, indem es eine HTTP-GET-Anfrage an einen Server (in der Regel den Hijacking-Knoten) stellt, ihn mit einer Kombination von XOR-Operationen entschlüsselt und dann ausführt.

Die Anfrage kann an zwei legitime Domänen(ime.sogou.com oder mobads.baidu.com) oder an die IP-Adresse 119.136.153.0 gesendet werden. Der Ressourcenpfad lautet in allen drei Fällen /update/updateInfo.bzp. Im Falle der legitimen Domänen wird erwartet, dass der Datenverkehr von EdgeStepper an den Hijacking-Knoten umgeleitet wird.

DaemonicLogistics

DaemonicLogistics ist ein positionsunabhängiger Code, der von LittleDaemon heruntergeladen und im Speicher ausgeführt wird. Sein Hauptzweck besteht darin, das SlowStepper-Implantat herunterzuladen und einzusetzen.

Wenn DaemonicLogistics eine Anfrage an den Server (in der Regel den Hijacking-Knoten) sendet, antwortet dieser mit einem HTTP-Statuscode, den DaemonicLogistics als Befehl interpretiert und die in Tabelle 1 aufgeführten Aktionen durchführt.

Tabelle 1. Von DaemonicLogistics unterstützte Befehle

Die erste HTTP-GET-Anfrage wird an folgende Adresse gesendet:

ime.sogou.com/update/latest/new_version?tp=2&c=0&s=<OS_ID_number>&mac=<identifier>

Die Bedeutung der Parameter in der URL ist wie folgt:

• Die Werte tp und c sind standardmäßig auf 2 bzw. 0 kodiert.
• Das Feld s besteht aus einem Byte und ist eine Zahl, die die Version des Betriebssystems angibt.
• Das Feld mac besteht aus sechs Bytes und ist der Wert der MAC-Adresse des Ethernet- oder Wi-Fi-Adapters des Rechners oder wird nach dem Zufallsprinzip generiert, wenn er keine erhält; der Wert wird wahrscheinlich vom Server als Identifikator verwendet.

Bei unserer Analyse haben wir festgestellt, dass der Server mit dem Statuscode 207 geantwortet hat, woraufhin DaemonicLogistics mit einer weiteren Anfrage an ime.sogou.com/update/latest/new_version?tp=1&g=15&c=0 geantwortet hat. In diesem Fall ist der Teil der URL tp=1&g=15&c=0 hart kodiert.

Der Server antwortete mit dem Statuscode 202. DaemonicLogistics führte zwei Anfragen zum Herunterladen der SlowStepper-Nutzdateien durch, zuerst an ime.sogou.com/update/file6.bdat und dann an ime.sogou.com/update/file2.bdat.

Die Nutzdaten in der ersten und zweiten Antwort des Servers begannen mit einem magischen Wert:

• In der Antwort auf die erste Anfrage war der magische Wert in Hexadezimal 50 4B 03 04 0A 1B 2C 3D(PK\3\4\A\1B\2C\3C)

  ○ DaemonicLogistics überprüft aktiv, ob die ersten acht Bytes der vom Server empfangenen Daten mit diesem magischen Wert übereinstimmen. Wenn dies der Fall ist, schreibt es die Daten in %PROGRAMDATA%\Tencent\QQUpdateMgr\UpdateFiles\logo.gif.

• Als Antwort auf die zweite Anfrage lautet der magische Wert in Hexadezimal 47 49 46 38 39 61 10 10(GIF89a\10\10)

  daemonicLogistics prüft diesen magischen Wert nicht speziell: Wenn die Prüfung des vorherigen magischen Werts nicht zutrifft, verarbeitet es die Daten und entschlüsselt sie mit einer Kombination von XOR-Operationen. Die Daten enthalten Dateien, die unter den in den entschlüsselten Daten angegebenen Pfaden auf die Festplatte geschrieben werden.

Schlussfolgerung

Wir haben das EdgeStepper-Netzwerkimplantat analysiert, das PlushDaemons Adversary-in-the-Middle-Funktionen ermöglicht, um Updates von Rechnern in einem Zielnetzwerk zu entführen. Außerdem haben wir die Tools LittleDaemon und DaemonicLogistics analysiert, die zusammen das SlowStepper-Implantat auf Windows-Rechnern einsetzen. Diese Implantate geben PlushDaemon die Möglichkeit, Ziele überall auf der Welt zu kompromittieren.

IoCs

Eine umfassende Liste von Kompromittierungsindikatoren und Beispielen finden Sie in unserem GitHub-Repository.

Dateien

Netzwerk

MITRE ATT&CK-Techniken

Diese Tabelle wurde mit der Version 18 des MITRE ATT&CK-Frameworks erstellt.