Företaget tror att det fortfarande finns mer skadlig programvara att hitta.
Microsoft har avslöjat tre nyfunna malware-varianter relaterade till SolarWinds cyberattack. Samtidigt har det också gett hotaktören bakom SolarWinds ett specifikt spårningsnamn: Nobelium.
Den nyligen avslöjade informationen ger mer insikt i den enorma cyberattacken som gjorde anspråk på flera amerikanska myndigheter på sin offerlista.
Microsoft avslöjar flera varianter av skadlig programvara
I ett nyligen inlägg på Microsofts officiella säkerhetsblogg avslöjade företaget upptäckten av ytterligare tre typer av skadlig programvara relaterade till SolarWinds cyberattack: GoldMax, Sibot, och GoldFinder.
Microsoft bedömer att de nyss uppkomna skadliga delarna användes av skådespelaren för att upprätthålla uthållighet och utföra åtgärder på mycket specifika och riktade nätverk efter kompromiss, även för att undvika initial upptäckt under incidentrespons.
De nya malware-varianterna användes i de senare stadierna av SolarWinds-attacken. Enligt Microsofts säkerhetsteam visade sig de nya attackverktygen och typerna av skadlig programvara vara i bruk mellan augusti och september 2020 men kan ha “funnits på komprometterade system så tidigt som i juni 2020.”
Dessutom är dessa helt nya typer av skadlig programvara “unika för den här aktören” och “skräddarsydda för specifika nätverk”, medan varje variant har olika möjligheter.
GoldMax: GoldMax är skrivet i Go och fungerar som en kommando- och kontrollbakdörr som döljer skadliga aktiviteter på måldatorn. Som upptäcktes med SolarWinds-attacken, kan GoldMax generera lockbetenätverkstrafik för att dölja dess skadliga nätverkstrafik, vilket ger den ett utseende som vanlig trafik. Sibot: Sibot är en VBScript-baserad skadlig programvara med dubbla ändamål som upprätthåller en ihållande närvaro på målnätverket och för att ladda ner och köra en skadlig nyttolast. Microsoft noterar att det finns tre varianter av Sibot malware, som alla har lite olika funktionalitet. GoldFinder: Denna skadliga programvara är också skriven i Go. Microsoft tror att det “användes som ett anpassat HTTP-spårningsverktyg” för att logga serveradresser och annan infrastruktur som är involverad i cyberattacken.
Det finns mer att komma från SolarWinds
Även om Microsoft tror att attackfasen av SolarWinds sannolikt är avslutad, väntar fler av den underliggande infrastrukturen och skadlig programvara som är involverade i attacken fortfarande på upptäckt.
Med den här aktörens etablerade mönster av att använda unik infrastruktur och verktyg för varje mål, och det operativa värdet av att bibehålla sin uthållighet på komprometterade nätverk, är det troligt att ytterligare komponenter kommer att upptäckas allt eftersom vår undersökning av denna hotaktörs agerande fortsätter.
Avslöjandet att fler typer av skadlig programvara och mer infrastruktur ännu inte har hittats kommer inte som en överraskning för dem som spårar denna pågående saga. Nyligen avslöjade Microsoft SolarWinds andra fas, som beskriver hur angriparna fick åtkomst till nätverk och bibehöll en närvaro under den långa period de förblev oupptäckta.
Om författaren
Gavin Phillips (1012 publicerade artiklar)
Gavin är Junior Editor for Technology Explained, en regelbunden bidragsgivare till Really Useful Podcast och en frekvent produktrecensent. Han har en examen i samtida skrivande plundrad från kullarna i Devon, och mer än ett decennium av professionell skrivarerfarenhet. Han tycker om stora mängder te, brädspel och fotboll.
Mer från Gavin Phillips
Prenumerera på vårt nyhetsbrev
Gå med i vårt nyhetsbrev för tekniska tips, recensioner, free e-böcker och exklusiva erbjudanden!
Klicka här för att prenumerera
