Скрытый бэкдор Mistic связан с брокером доступа к программам-вымогателям KongTuke.

[zender]

В ходе финансовых атак на организации в страховом, образовательном, ИТ-секторе и сфере профессиональных услуг был обнаружен новый бэкдор, получивший название Mistic.


Предполагается, что вредоносное ПО связано с KongTuke/Woodgnat, брокером первичного доступа, действующим как минимум с 2024 года и специализирующимся на взломе корпоративных сетей и продаже этого доступа группам вымогателей, включая Qilin, Interlock, Rhysida, Akira, 8Base и Black Basta.


Исследователи из компании Symantec, занимающейся кибербезопасностью, заявляют, что Mistic используется для осуществления вторжений с апреля.

По меньшей мере в одном случае он был развернут вскоре после ModeloRAT, бэкдора, приписываемого KongTuke и распространяемого посредством атак с использованием методов социальной инженерии через Microsoft Teams.


Компания Symantec считает, что Mistic — это недавно разработанный, скрытый бэкдор, предназначенный для длительного сохранения в скомпрометированных сетях.

Мистическая цепочка атак​

В ходе расследованных компанией Symantec атак заражение начиналось с запуска легитимного исполняемого файла MpExtMs.exe для установки вредоносной DLL-библиотеки version.dll, которая выступает в качестве загрузчика Mistic (EndpointDlp.dll).


Исследователи отмечают, что выбранное для Mistic имя файла напоминает инструменты безопасности конечных точек Microsoft, что может помочь вредоносной программе слиться с доверенным программным обеспечением на хосте.


Также загружается отдельная DLL-библиотека .NET, которая отображает жертве поддельный экран входа в систему, чтобы украсть ее учетные данные.


После загрузки Mistic взаимодействует со своей системой управления и контроля и может получать команды от оператора. Компания Symantec перечисляет следующие возможности:

• Загрузка/скачивания, перемещение, переименование, удаление файлов и создание папок.
• Измените частоту проверки Mistic наличия команд от сервера управления и контроля (C2).
• Выполнить код, полученный от C2, непосредственно в памяти.
• Завершить свою работу и удалить файлы с хоста.

Согласно анализу Symantec, Mistic, по всей видимости, был разработан для скрытного использования, что позволяет злоумышленникам сохранять устойчивое присутствие в скомпрометированных сетях в течение длительного времени.


«Бэкдор запускает полезные нагрузки в оперативной памяти без записи файлов на диск и включает в себя аварийный выключатель, позволяющий ему самоудаляться, что соответствует потребностям оператора, стремящегося к долгосрочному, незаметному доступу», — говорят исследователи .


Компания Symantec не предоставляет подробностей о том, как начинается заражение, но известно, что KongTuke использует ClickFix, а также его варианты FileFix и CrashFix , с начала 2025 года для распространения вредоносного ПО ModeloRAT.


В техническом отчете , опубликованном на этой неделе компанией Zscaler, специализирующейся на облачной безопасности, отмечается, что Mistic, отслеживаемый ею как MTLBackdoor, был доставлен в мае в качестве полезной нагрузки в рамках многоэтапной цепочки заражения ClickFix.


Исследователи Zscaler утверждают, что «одной из самых мощных функций [в MTLBackdoor] является возможность загрузки файлов объектов маяков (BOF) для расширения его возможностей».


BOF — это небольшие программы на языке C, которые могут выполняться непосредственно в памяти процесса управления и контроля (C2), не оставляя следов на диске и избегая обнаружения агентами безопасности. Они часто используются в продуктах для «красной команды», таких как Cobalt Strike, на этапе постэксплуатации.


Компания Symantec считает, что Mistic подтверждает наблюдаемую тенденцию использования собственных инструментов в атаках с применением программ-вымогателей, хотя бэкдор, по всей видимости, был разработан брокером первичного доступа, тесно связанным с рынком программ-вымогателей.


Известно, что KongTuke использует множество других инструментов, таких как легитимные среды выполнения WinPython и Node.js для выполнения вредоносного кода, finger.exe для получения обфусцированных полезных нагрузок, поддельное расширение для браузера NexShield , зашифрованная полезная нагрузка GateKeeper .NET, а также загрузчики вредоносного ПО MintsLoader и D3F@ck Loader для доставки дополнительных полезных нагрузок.


В отчетах Zscaler и Symantec [ 1 , 2] приводятся признаки компрометации вредоносной программы Mistic/MTLBackdoor и отмечается, что это скрытый инструмент, который может расширять свою функциональность.