Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
JadeProx to klaster aktywności powiązany z operacjami cyberwywiadowczymi, który według najnowszych ustaleń wykorzystuje nowy loader dla systemów Windows o nazwie TriBack Loader. Kampanie przypisywane tej infrastrukturze były wymierzone w podmioty sektora publicznego, ochrony zdrowia oraz edukacji, a ich wyróżnikiem jest połączenie DLL sideloadingu, legalnych plików binarnych i technik utrudniających wykrycie przez narzędzia klasy EDR.
Znaczenie tej kampanii wykracza poza samo pojawienie się nowego malware. Analiza wskazuje bowiem, że operatorzy łączą stosunkowo konwencjonalne metody wejścia, takie jak phishing i eksploatacja znanych luk, z bardziej zaawansowanymi narzędziami do utrzymania dostępu i dalszej eksploatacji środowiska.
W skrócie
Śledztwo rozpoczęło się od odkrycia błędnie zabezpieczonego serwera w chmurze, na którym znajdowały się narzędzia ofensywne, artefakty phishingowe oraz dane sugerujące aktywne włamania. Zgromadzone materiały pozwoliły badaczom powiązać infrastrukturę z atakami na szpital publiczny w Wietnamie, ministerstwo spraw zagranicznych Malezji, instytucje edukacyjne w Hongkongu oraz cele w Ameryce Łacińskiej.
- TriBack Loader występował w kilku wariantach łańcucha infekcji.
- Do uruchamiania kolejnych etapów używano modelu EXE-DLL-DAT lub EXE-DLL-LOG.
- Ładunki obejmowały m.in. AdaptixC2 oraz backdoora Beagle.
- Operatorzy stosowali phishing, złośliwe instalatory i skanowanie publicznie dostępnych usług.
Kontekst / historia
Punktem zwrotnym w analizie był publicznie dostępny serwer chmurowy uruchomiony w regionie Singapuru. Zawartość katalogów, historia poleceń i pozostawione pakiety operacyjne umożliwiły częściowe odtworzenie taktyk, technik i procedur stosowanych przez operatorów. To kolejny przykład, że nawet zaawansowane grupy prowadzące działania szpiegowskie mogą popełniać błędy operacyjne, które odsłaniają ich infrastrukturę.
Ujawnione artefakty sugerują prowadzenie kilku równoległych linii operacyjnych. Jedna z nich dotyczyła dostępu do systemu obrazowania medycznego w publicznym szpitalu, inna wskazywała na spear-phishing wymierzony w instytucje państwowe. Dodatkowo wykryto ślady infrastruktury podszywającej się pod legalne oprogramowanie, co wpisuje się w model długofalowego pozyskiwania dostępu do środowisk o wysokiej wartości wywiadowczej.
Analiza techniczna
TriBack Loader działał w co najmniej czterech wariantach, ale wspólnym elementem był schemat oparty na trzech plikach. W katalogu ofiary umieszczano legalnie podpisany plik wykonywalny, złośliwą bibliotekę DLL oraz zaszyfrowany plik pomocniczy zawierający właściwy ładunek. Po uruchomieniu zaufanego programu dochodziło do sideloadingu DLL, która następnie odszyfrowywała i ładowała payload do pamięci.
Mechanizm odszyfrowania obejmował odwracanie bajtów i operację XOR z kluczem kroczącym. Sam loader korzystał z mniej typowych ścieżek wykonania shellcode, takich jak InitOnceExecuteOnce, callbacki TimerQueue oraz funkcja EtwpCreateEtwThread z biblioteki ntdll. Taki dobór API wskazuje na świadome ograniczanie widoczności telemetrycznej i próbę zmniejszenia skuteczności detekcji behawioralnej.
W dwóch wariantach TriBack Loader dostarczał framework AdaptixC2 używany na etapie post-exploitation. Inny wariant, powiązany z kampanią podszywającą się pod legalne oprogramowanie, uruchamiał DonutLoader, a następnie backdoora Beagle. Jeden z zaobserwowanych łańcuchów pozostał częściowo nierozpoznany, ponieważ nie odzyskano końcowego zaszyfrowanego ładunku.
Warstwa dystrybucji również była zróżnicowana. Operatorzy używali archiwów spear-phishingowych z dokumentami-wabikami, złośliwych instalatorów MSI oraz elementów persistence umieszczanych w folderze Startup. Dodatkowo wykryto skrypty czyszczące służące do usuwania części artefaktów po instalacji, co utrudnia analizę incydentu po fakcie.
Istotnym elementem operacji było także skanowanie publicznie dostępnych usług. Badacze natrafili na duże zbiory adresów URL wykorzystywane do automatycznego wyszukiwania podatnych systemów, w tym aplikacji i urządzeń narażonych na znane luki bezpieczeństwa. To pokazuje, że nowość samego loadera nie oznaczała koniecznie nowatorskiego sposobu uzyskania początkowego dostępu.
Konsekwencje / ryzyko
Największe ryzyko wynika z połączenia kilku warstw ataku: phishingu, exploitacji znanych podatności, webshelli, DLL sideloadingu i niestandardowego loadera. Taki zestaw technik zwiększa skuteczność operacji i jednocześnie utrudnia wykrycie, szczególnie w organizacjach opierających się głównie na sygnaturach lub prostych wskaźnikach IOC.
Szczególnie narażone są instytucje publiczne, placówki ochrony zdrowia i sektor edukacyjny. W środowiskach medycznych skutki mogą obejmować nie tylko wyciek danych, ale również zakłócenie działania systemów diagnostycznych i administracyjnych. W administracji państwowej stawką jest dostęp do informacji wrażliwych, korespondencji urzędowej i danych o znaczeniu strategicznym.
Dodatkowym problemem jest wykorzystywanie legalnie podpisanych plików wykonywalnych jako nośników dla sideloadingu. Z perspektywy użytkownika i części systemów monitorujących proces może wyglądać na zaufany, mimo że w rzeczywistości uruchamia złośliwą bibliotekę i końcowy payload z nietypowej lokalizacji.
Rekomendacje
Organizacje powinny zacząć od przeglądu usług dostępnych z internetu, zwłaszcza paneli administracyjnych, aplikacji webowych i systemów Java. Priorytetem pozostaje szybkie łatanie znanych luk o wysokiej krytyczności, szczególnie tam, gdzie istnieją sygnały aktywnego wykorzystywania.
- Monitorować uruchamianie podpisanych plików binarnych z katalogów tymczasowych, Startup i innych lokalizacji zapisywalnych przez użytkownika.
- Wykrywać nietypowe zestawy plików EXE-DLL-DAT oraz EXE-DLL-LOG w jednym folderze.
- Rozszerzyć hunting o wzorce DLL sideloadingu i mniej popularne ścieżki wykonania shellcode.
- Analizować tworzenie skryptów BAT i VBS oraz skrótów wykorzystywanych do persistence.
- Wdrożyć allowlisting aplikacji i ograniczyć możliwość uruchamiania skryptów w środowiskach wysokiego ryzyka.
- Segmentować systemy krytyczne, w tym serwery medyczne i administracyjne.
Zespoły SOC powinny korelować telemetrię procesów z anomaliami lokalizacji plików oraz nietypowym ruchem sieciowym generowanym przez legalne aplikacje. W praktyce to właśnie takie zależności często pozwalają wykryć kampanie, które z założenia mają wyglądać jak normalna aktywność systemowa.
Podsumowanie
Operacja JadeProx pokazuje, że współczesne kampanie cyberwywiadowcze skutecznie łączą stare, dobrze znane wektory wejścia z nowymi narzędziami do utrzymania dostępu i obchodzenia detekcji. TriBack Loader nie musi być odpowiedzialny za pierwszy etap kompromitacji, ale znacząco zwiększa skuteczność dalszej eksploatacji i utrudnia reakcję obrońców.
Dla organizacji najważniejszy wniosek jest praktyczny: sama obserwacja nowych rodzin malware nie wystarczy. Równie istotne pozostają higiena ekspozycji usług, szybkie zarządzanie podatnościami, monitorowanie DLL sideloadingu oraz analiza nietypowych mechanizmów uruchamiania kodu w systemie Windows.