✔Linux-инструментарий DKnife используется для перехвата трафика и распространения малвари - «Новости»
Исследователи Cisco Talos обнаружили Linux-фреймворк DKnife, который как минимум с 2019 года используется для перехвата трафика на уровне сетевого оборудования. Вредонос внедряется на роутеры и шлюзы, где следит за проходящим трафиком, подменяет пакеты и доставляет малварь на устройства пользователей.
Фреймворк работает как инструмент для постэксплуатации и используется для проведения атак типа man-in-the-middle (MitM). DKnife состоит из семи Linux-компонентов, каждый из которых отвечает за определенную задачу, включая глубокую инспекцию пакетов (DPI), манипуляцию трафиком, кражу учетных данных и доставку вредоносов:
• dknife.bin — центральный компонент для инспекции пакетов и логики атак, отправляет собранные данные на управляющие серверы;
• postapi.bin — компонент ретрансляции между dknife.bin и управляющими серверами;
• sslmm.bin — кастомный реверс-прокси на базе HAProxy;
• yitiji.bin — создает виртуальный интерфейс TAP на роутере и подключает его в локальную сеть, чтобы атакующие могли маршрутизировать трафик;
• remote.bin — P2P VPN-клиент на базе n2n;
• mmdown.bin — загрузчик и апдейтер малвари для Android APK;
• dkupdate.bin — компонент для загрузки, развертывания и обновления самого DKnife.
После установки DKnife использует свой компонент yitiji.bin для создания TAP-интерфейса на роутере с приватным IP 10.3.3.3. Это позволяет перехватывать и переписывать сетевые пакеты прямо в процессе передачи целевому хосту. Таким образом атакующие распространяют вредоносные APK-файлы для устройств на базе Android и бэкдоры для Windows-систем.
Исследователи пишут, что обнаружили в коде DKnife элементы на упрощенном китайском языке — в названиях компонентов и в комментариях. Кроме того, фреймворк явно нацелен на китайские сервисы, включая почтовых провайдеров, мобильные приложения, медиадомены и пользователей WeChat. В результате аналитики Cisco Talos с высокой степенью уверенности связывают DKnife с китайскими APT-группировками.
Также отмечается, что вредонос используется для доставки и взаимодействия с бэкдорами ShadowPad и DarkNimbus (он же DarkNights) — оба ранее уже связывали с китайскими хакерами. Так, исследователи зафиксировали, как DKnife устанавливал ShadowPad для Windows, подписанный сертификатом китайской компании, а следом разворачивал DarkNimbus. На Android-устройства бэкдор доставлялся напрямую.
Более того, на той же инфраструктуре, что и DKnife, был найден бэкдор WizardNet, который специалисты компании ESET ранее связывали с MitM-фреймворком Spellbinder. Также DarkNimbus разрабатывает китайская фирма UPSEC, которую ранее ассоциировали с APT-группой TheWizards, операторами упомянутого Spellbinder. К тому же, между DKnife и Spellbinder прослеживаются совпадения в тактиках и техниках атак.
Помимо доставки малвари своим жертвам DKnife способен:
- подменять DNS-запросы;
- перехватывать обновления Android-приложений;
- подменять загрузки Windows-бинарников;
- похищать пароли через расшифровку POP3/IMAP-трафика;
- хостить фишинговые страницы;
- блокировать трафик антивирусов и средств управления ПК;
- следить за активностью пользователей в мессенджерах (WeChat, Signal), картах, новостях, звонках, сервисах такси и покупках.
Особое внимание уделяется WeChat — DKnife отслеживает голосовые и видеозвонки, текстовые сообщения, отправленные и полученные изображения, прочитанные статьи на платформе. События активности сначала маршрутизируются между компонентами DKnife, а затем передаются на серверы злоумышленников через HTTP POST-запросы.
