ESET обнаружила новый бэкдор Linux от APT-группы SparklingGoblin, снова нацеленный на гонконгский университет

«Бэкдор SideWalk является эксклюзивным для SparklingGoblin. В дополнение к многочисленным сходствам кода между вариантами SideWalk для Linux и различными инструментами SparklingGoblin, один из примеров SideWalk Linux использует адрес C&C, который ранее использовался SparklingGoblin. Принимая во внимание все эти факторы, мы с большой уверенностью относим SideWalk Linux к группе APT SparklingGoblin», — объясняет Владислав Хрчка, исследователь ESET, который сделал это открытие вместе с Тибо Пассилли и Матье Тартаром.

SparklingGoblin впервые взломал конкретный гонконгский университет в мае 2020 года, и мы впервые обнаружили вариант SideWalk для Linux в сети этого университета в феврале 2021 года. Группа постоянно преследовала эту организацию в течение длительного периода времени, успешно взломав несколько серверов, включая печатный сервер, сервер электронной почты и сервер, используемый для управления расписанием учащихся и регистрацией на курсы. На этот раз это вариант оригинального бэкдора для Linux. Эта версия для Linux имеет некоторые сходства со своим аналогом для Windows, а также некоторые технические новшества.  

Одной из особенностей SideWalk является использование нескольких потоков для выполнения одной конкретной задачи. Мы заметили, что в обоих вариантах одновременно выполняется ровно пять потоков, у каждого из которых есть определенная задача. Четыре команды не реализованы или реализованы по-другому в варианте Linux. «Учитывая многочисленные совпадения кода между образцами, мы считаем, что действительно нашли вариант SideWalk для Linux, который мы назвали SideWalk Linux. Сходства включают в себя ту же индивидуализированную ChaCha20, программную архитектуру, конфигурацию и реализацию распознавателя тайников», — говорит Хрчка.

«Вариант SideWalk для Windows делает все возможное, чтобы скрыть цели своего кода. Он обрезал все данные и код, которые не нужны для его выполнения, а остальное зашифровал. С другой стороны, варианты Linux содержат символы и оставляют незашифрованными некоторые уникальные ключи аутентификации и другие артефакты, что значительно упрощает обнаружение и анализ», — заключает Хрчка.