التحقيق في نشاط مجموعة Wintti: Shadowpad و xDLL Backdoors وأدوات تطوير الهجوم الجديد

في مارس 2020 ، كجزء من دراسة تهديدات أمن المعلومات ، اكتشف متخصصو مركز أمان الخبراء في PT بابًا خلفيًا غير معروف سابقًا وأطلقوا عليه اسم xDll ، بعد الاسم الأصلي في الكود. بسبب خطأ في التكوين على خادم التحكم ، أصبح الوصول إلى بعض الأدلة من الخارج. 

, Shadowpad, xDll, Python-, .. Shadowpad Winnti .

, .

Winnti ShadowPad,

ShadowPad Winnti (APT41, BARIUM, AXIOM), 2012 . . — . . Winnti , supply chain watering hole. 

, , , , , , , , , .. 

, - , , , , , .

ShadowPad 2017 . supply chain (, , CCleaner ASUS). Winnti ShadowPad ESET 2020 .

, xDll (. 2.2), - APT- . www.g00gle_jp.dynamic-dns[.]net, . , . 

, , , . , , XOR 0x37. SkinnyD (Skinny Downloader) - . URL SkinnyD xDll . 

SkinnyD, . xDll. . x.jpg ― xDll, XOR 0x37. , xDll SkinnyD. 

cache.

, . MD5-- MAC- , xDll, . , , , , : 1990 . , .

ShadowPad, Python- .

, 50 . . , , .

:

• ,

• ,

• — , ,

• — : , .

CERT.

, ShadowPad supply chain , , , , .

Winnti, , 2019 . , Winnti. «» , . — SkinnyD, xDll, Python-.

, , , , , , , 459 Tonto team. Nettraveler. 

, ( ), , Winnti, , . .

. , , , 80% . , . .

Winnti , . , , , CCleaner ASUS.