Microsoft har offentliggjort en analyse af NeedyMantis, den malware, der blev brugt af de Kina-relaterede hackere bag supply chain-angrebet på Daemon Tools. Rapporten, som SecurityWeek har dækket, tilføjer et nyt lag til en...

Microsoft har offentliggjort en analyse af NeedyMantis, den malware, der blev brugt af de Kina-relaterede hackere bag supply chain-angrebet på Daemon Tools. Rapporten, som SecurityWeek har dækket, tilføjer et nyt lag til en historie, der begyndte, da betroet software viste sig at indeholde noget uønsket. For almindelige Windows-brugere er NeedyMantis Daemon Tools supply chain-angrebet et nyttigt casestudie i, hvordan en legitim download kan blive det første skridt i et kompromittering.

Dette indlæg holder sig til det, der hidtil er blevet offentligt rapporteret. Nogle tekniske detaljer er stadig begrænsede i kildedækningen, og vi markerer, hvor billedet stadig er ufuldstændigt.

Hvordan NeedyMantis kom på radaren

Opdagelsesforløbet er vigtigt her. Ifølge rapporteringen om Microsofts fund opdagede virksomheden NeedyMantis, mens den analyserede indikatorer forbundet med Daemon Tools supply chain-kompromitteringen, som Kaspersky havde undersøgt. Med andre ord fulgte Microsoft sporet fra den oprindelige hændelse og identificerede en separat malwarefamilie forbundet med den samme aktivitet.

Microsoft sporer Daemon Tools-aktiviteten under betegnelsen Storm-3069, ifølge sekundær dækning af rapporten. Ét punkt i den dækning er værd at bemærke: Microsoft har efter sigende ikke observeret, at NeedyMantis selv blev distribueret gennem en supply chain-kompromittering. Supply chain-aktivitet beskrives som blot én del af den bredere operation. Det er en nyttig skelnen, fordi den adskiller, hvordan angriberne fik fodfæste, fra hvad de gjorde, da de først var inde.

For den oprindelige opdagelse forklarer vores tidligere dækning af Daemon Tools officielle installer-backdoor, hvordan Kaspersky opdagede, at installatørerne var blevet manipuleret.

Hvorfor Daemon Tools var et nyttigt mål

Daemon Tools er et velkendt stykke software, som folk downloader og installerer på deres egne maskiner, ofte med administratorrettigheder. Den kombination er attraktiv for en angriber. Hvis installatøren kommer fra den officielle kilde og fremstår legitim, har de fleste ingen grund til at betvivle den.

Det er kerneproblemet med supply chain-angreb. Sikkerhedsvaner fokuserer normalt på at undgå lyssky websteder og mistænkelige vedhæftede filer. Her var de tillidssignaler, brugerne stoler på, netop det, der blev udnyttet. En bruger, der gjorde alt "rigtigt" ved at gå til den officielle kilde, kunne stadig ende med en kompromitteret installatør.

Risikoen er heller ikke begrænset til ét produkt. Angribere, der kompromitterer en softwareleverandør, kan nå enhver kunde, der downloader den pågældende version, hvilket giver dem skala uden at skulle phishe nogen individuelt.

Hvad Microsofts analyse afslører om malvaren

Baseret på dækningen af Microsofts rapport beskrives NeedyMantis som en modulær malwarefamilie til brug efter kompromittering. Den formulering er vigtig. "Efter kompromittering" betyder, at den bruges, efter at angribere allerede har adgang til et system, til at hjælpe dem med at opretholde den adgang og udføre yderligere aktivitet i målrettede netværk. "Modulær" betyder, at funktioner kan tilføjes eller udskiftes, så malvaren kan skræddersys til målet i stedet for at opføre sig ens på hver maskine.

Nogle sekundære rapporter nævner også teknikker som DLL side-loading og flertrins-loadere. Det er almindelige måder at få ondsindet kode til at smelte ind med legitim software og undgå simpel detektion. Vi kunne ikke bekræfte den fulde tekniske detalje ud fra det kildemateriale, vi havde til rådighed, så læsere, der ønsker specifikke oplysninger, bør konsultere Microsofts egen offentliggjorte analyse.

Hvad rapporteringen gør klart, er mønsteret: et supply chain-fodfæste efterfulgt af mere selektivt værktøj til persistens. Det er mere bevidst end typisk commodity-malware, og det tyder på, at operationen var rettet mod specifikke mål snarere end en bred spredning.

Hvad dette betyder for dig

De fleste hjemmebrugere er næppe det primære fokus for et modulært, målrettet framework. Ikke desto mindre har alle, der installerede Daemon Tools fra en påvirket kilde, grund til at tjekke deres system, og den bredere lære gælder for enhver download, du foretager.

En signeret, officiel installatør er et stærkt signal, men det er ikke en garanti. Hvis en leverandørs build-proces er kompromitteret, kan ondsindet kode ankomme med et gyldigt udseende. Derfor betyder lagdelte forsvar mere end enhver enkelt tillidskontrol.

Det samme tema optrådte i vores rapport om TrueConf-bruddet og dets trojaniserede installatører, et andet tilfælde, hvor angribere brugte en leverandørs egen distributionskanal til at skjule backdoors.

Sådan reducerer du din eksponering for trojaniserede installatører

Du kan ikke inspicere enhver installatør selv, men et par vaner nedsætter din risiko betydeligt:

• Tjek leverandørrådgivninger. Hvis en leverandør eller et sikkerhedsfirma annoncerer en kompromitteret udgivelse, afinstaller den pågældende version, og følg den officielle vejledning til oprydning.
• Hold Windows og din sikkerhedssoftware opdateret. Endpoint-beskyttelse kan fange mistænkelig adfærd efter installation, selv når installatøren så ren ud.
• Begræns administratorrettigheder. Daglig brug af en standardkonto gør det sværere for en rogue-installatør at foretage dybe systemændringer.
• Fjern software, du ikke længere bruger. Hvert installeret program er et potentielt indgangspunkt, og gamle værktøjer er nemme at glemme.
• Download kun fra den officielle kilde. Det løser ikke supply chain-angreb, men det undgår det langt mere almindelige problem med falske download-sider.
• Hold øje med usædvanlig adfærd. Uventet netværksaktivitet, nye tjenester eller ukendte processer efter en installation fortjener et nærmere kig.

En VPN beskytter ikke mod en kompromitteret installatør, da problemet er softwaren på din enhed snarere end forbindelsen. Betragt det som ét privatlivsværktøj blandt mange, ikke som en løsning på denne type trussel.

Det vigtigste at tage med

Microsofts dissektion af NeedyMantis viser, at NeedyMantis Daemon Tools supply chain-angrebet ikke bare var en enkeltstående manipulationshændelse, men en del af en større operation med kapable opfølgende værktøjer. Verificér, hvad du downloader, hold dine systemer patchede, og tjek leverandør- og sikkerhedsrådgivninger for software, du er afhængig af. For baggrunden kan du læse vores tidligere dækning af Daemon Tools installer-backdoor og se TrueConf-brudartiklen for et parallelt eksempel på samme taktik.

FAQ: Q1: Hvad er NeedyMantis? A1: NeedyMantis er den malware, der blev brugt af de Kina-relaterede hackere bag supply chain-angrebet på Daemon Tools. Microsoft beskriver den som en modulær malwarefamilie til brug efter kompromittering. Q2: Hvordan opdagede Microsoft NeedyMantis? A2: Microsoft fandt NeedyMantis, mens de analyserede indikatorer forbundet med Daemon Tools supply chain-kompromitteringen, som Kaspersky havde undersøgt. Q3: Hvad er Storm-3069? A3: Storm-3069 er Microsofts betegnelse for Daemon Tools-aktiviteten knyttet til hackerne bag supply chain-angrebet. Q4: Blev NeedyMantis selv distribueret gennem en supply chain-kompromittering? A4: Ifølge sekundær dækning af rapporten har Microsoft efter sigende ikke observeret, at NeedyMantis selv blev distribueret gennem en supply chain-kompromittering. Supply chain-aktivitet beskrives som blot én del af den bredere operation. Q5: Hvorfor målrettede angriberne Daemon Tools? A5: Daemon Tools er et velkendt stykke software, som folk downloader og installerer på deres egne maskiner, ofte med administratorrettigheder, hvilket gør det attraktivt for angribere. Hvis installatøren kommer fra den officielle kilde og fremstår legitim, har de fleste ingen grund til at betvivle den. ---END---