Ένα νέο τμήμα malware, που ονομάζεται Stealth Falcon, υιοθετεί μια νέα προσέγγιση με στόχο να αποφεύγει την ανίχνευση στο διαδίκτυο. Χρησιμοποιεί το πρωτόκολλο BITS σε μηχανές Windows, το οποίο είναι συνήθως ενεργοποιημένο και μπορεί να διαπεράσει τα firewall των εταιριών. Το πρωτόκολλο είναι ιδανικό για τον εντοπισμό και τη διακοπή του exfiltrating data και αποδεικνύει την ανάγκη για ένα Data Leakage Prevention (DLP).
Τι είναι το πρωτόκολλο BITS;
Το κακόβουλο λογισμικό Stealth Falcon έχει σχεδιαστεί για να είναι αόρατο με διάφορους τρόπους. Ωστόσο, το μοναδικό χαρακτηριστικό του είναι η χρήση του πρωτοκόλλου BITS για data exfiltration.
Το πρωτόκολλο Background Intelligent Transfer Service (BITS) σχεδιάστηκε από τη Microsoft για να επιτρέπει uploads και λήψεις μεγάλων αρχείων χωρίς να επηρεάζεται η ταχύτητα σύνδεσης του δικτύου του χρήστη. Αυτό το πρωτόκολλο χρησιμοποιείται συνήθως για τη λήψη ενημερώσεων λογισμικού, έτσι ώστε πολλές εταιρίες να επιτρέπουν να περάσει από το firewall τους. Οι όροι “background” και “intelligent” στο όνομα του πρωτοκόλλου BITS αναφέρονται στο γεγονός ότι προσπαθεί να ελαχιστοποιήσει τις επιπτώσεις του στην εμπειρία του χρήστη στον υπολογιστή. Το BITS αναγνωρίζει πότε ένας υπολογιστής έχει αχρησιμοποίητο εύρος ζώνης δικτύου και χρησιμοποιεί αυτό το εύρος ζώνης για τη λήψη. Ως αποτέλεσμα, το πρωτόκολλο BITS είναι πολύ διακριτικό, γεγονός που καθιστά δύσκολο να εντοπιστεί πότε τρέχει σε ένα δίκτυο.
Το Stealth Falcon Malware
Η διακριτικότητα πρωτοκόλλου BITS το καθιστά ιδανικό για το κακόβουλο λογισμικό που προσπαθεί να διατηρήσει τις εντολές και τον έλεγχο (C2) εκτός του ραντάρ. Επιπλέον, επειδή δεν πρόκειται να “μπλοκάρει” στο firewall και χρησιμοποιείται από πολλούς διαφορετικούς προμηθευτές λογισμικού για ενημερώσεις, οι περισσότερες εταιρίες είναι απίθανο να είναι ύποπτες για τη λήψη και τη μεταφόρτωση δεδομένων σε ασυνήθιστα τμήματα.
Πρόσφατα, ανακαλύφθηκε ότι το malware Stealth Falcon χρησιμοποιεί το BITS για την απομάκρυνση των δεδομένων του και τις επικοινωνίες C2. Το Stealth Falcon φροντίζει να αποκρύψει τις επικοινωνίες του δημιουργώντας κρυπτογραφημένο αντίγραφο του αρχείου πριν από τη μετάδοση και διαγραφή των αρχείων καταγραφής και των κρυπτογραφημένων αντιγράφων των αρχείων μόλις ολοκληρωθεί η επικοινωνία. Δεδομένου ότι οι μεταφορτώσεις / λήψεις BITS έχουν τη δυνατότητα να επιμένουν σε επανεκκινήσεις και αποσυνδέσεις χρηστών, το πρωτόκολλο C2 του κακόβουλου λογισμικού είναι τόσο αόρατο όσο και ανθεκτικό.
