C2Looper vysvětlen: Jak funguje rustový backdoor pro Windows

Beacon malwaru identifikuje oběť údaji, mezi které patří uživatelské jméno ve Windows, DNS název počítače, ID procesu C2Looperu a identifikátor bota odvozený z názvu počítače a uživatelského jména. Beacon se odesílá na cestu /api/beacon, zatímco výstupy příkazů putují na /api/result/.

Operátor může podle dostupných popisů:

• spouštět libovolné shellové nebo systémové příkazy,
• provádět průzkum hostitele,
• stahovat soubory,
• aktualizovat implantát a nasazovat další payloady.

Pozoruhodná je funkce upload. Ta dokáže z adresy zadané útočníkem stáhnout přenosný spustitelný soubor a uložit jej jako DLL do lokální složky Microsoft OneDrive uživatele. Malware následně ukončí proces OneDrivu a využije legitimní spustitelný soubor OneDrivu k načtení podvržené knihovny pomocí techniky DLL sideloading. Ve zkoumaných vzorcích šlo o soubor wtsapi32.dll umístěný v %LocalAppData%\\Microsoft\\OneDrive.

Útočník tak umístí škodlivý kód vedle důvěryhodného programu a spoléhá na jeho běžné chování při načítání knihoven. Pro obránce proto není rozhodující jen přítomnost OneDrivu, ale především situace, kdy legitimní binární soubor OneDrivu načítá neočekávanou DLL z neobvyklého nebo uživatelsky zapisovatelného umístění.

Jak se starší vzorky snaží skrýt

C2Looper používá řetězce šifrované za běhu pomocí XOR, podle dostupných informací s opakovaně využívaným osmibajtovým klíčem. Dynamicky také vyhledává rozhraní Windows prostřednictvím funkcí LoadLibrary a GetProcAddress. Tyto techniky mohou ztížit jednoduchou statickou analýzu souboru a zvyšují význam behaviorální telemetrie z nástrojů EDR.

Novější varianta: GitHub jako řídicí infrastruktura

Novější build přesouvá command-and-control z běžného serveru do repozitářů na GitHubu. Ty slouží k předávání úkolů, beaconingu, ukládání výsledků a podle popisů novější varianty také k práci s daty souvisejícími s payloady.

Každý napadený počítač dostane vlastní adresář v repozitáři. Implantát z něj načte soubor cmd.json, provede požadovanou akci a výsledek zapíše do souboru result.json ve stejném adresáři. Útočník tak získává jednoduchý souborový mechanismus pro zadávání příkazů a sběr odpovědí bez nutnosti provozovat samostatný C2 server.

Použití GitHubu může zkomplikovat jednoduché blokování domén, protože jde zároveň o legitimní službu využívanou vývojáři a firmami. Obrana by se proto měla opírat hlavně o chování: vyšetřovat pravidelné přístupy koncových zařízení k repozitářům nebo API GitHubu a odlišovat podezřelou aktivitu s JSON soubory od schváleného vývoje či CI/CD procesů.

Přechod na GitHub a rozšiřování funkcí pro spouštění dalších payloadů naznačují, že C2Looper je stále aktivně vyvíjen.

Možné šíření přes sociální inženýrství ClickFix

ThreatLabz s nízkou až střední mírou jistoty odhaduje, že C2Looper může být doručován prostřednictvím vícestupňového řetězce ClickFix. Oběť při něm narazí na falešnou výzvu k ověření, chybu prohlížeče, CAPTCHA nebo zprávu o údajné opravě systému. Následně je přesvědčena, aby zkopírovala a spustila příkaz v PowerShellu, dialogu Spustit nebo jiném příkazovém rozhraní.

Tento způsob šíření dělá z lidské interakce důležitý bod prevence. Webová stránka ani zpráva v prohlížeči by po uživateli nikdy neměla chtít, aby kvůli ověření nebo opravě kopíroval příkaz do PowerShellu, Terminálu či dialogu Spustit.

Do širšího ekosystému podobných podvodů patří také kampaně využívající vishing přes Microsoft Teams a zneužití nástroje Quick Assist. Dostupné podklady však nepotvrzují, že každá taková kampaň doručovala právě C2Looper. Tyto souvislosti je proto nutné chápat jako možný kontext, nikoli jako potvrzené přiřazení kampaně.

Co by měli obránci sledovat

Organizace se nemusí snažit zablokovat každý nástroj nebo službu, která se v popisu malwaru objevuje. Efektivnější je zaměřit se na několik vysoce hodnotných behaviorálních signálů:

• Časté plaintextové HTTP beaconingy: Prověřujte neobvykle pravidelný JSON provoz metodou POST, zejména požadavky připomínající /api/beacon a /api/result/, pokud souvisejí s nově pozorovaným nebo podezřelým procesem.
• Podezřelá aktivita na GitHubu: Vyhledávejte pravidelné přístupy koncových zařízení k repozitářům nebo API GitHubu, včetně adresářů s cmd.json a result.json pro jednotlivé hostitele. GitHub neblokujte plošně; zohledněte legitimní vývojové a automatizační procesy.
• DLL sideloading přes OneDrive: Upozorněte na situace, kdy legitimní spustitelný soubor OneDrivu běží z neobvyklé cesty v uživatelském profilu, načítá DLL ze sousedního zapisovatelného adresáře nebo spouští nestandardní podřízené procesy.
• Spouštění příkazů a průzkum systému: V telemetrii EDR sledujte podezřelý PowerShell, cmd.exe, aktivitu dialogu Spustit, zjišťování informací o systému, stahování souborů a spouštění shellu z nově zjištěných binárních souborů.
• Kombinace znaků rustového implantátu: Dynamické vyhledávání API, šifrované řetězce, pravidelné síťové dotazy a nasazování payloadů posuzujte jako jeden behaviorální vzorec, nikoli jako izolované indikátory.

Jak snížit riziko napadení

Technická opatření je třeba spojit s obranou proti sociálnímu inženýrství. Pokud to provoz dovolí, omezte nebo řiďte uživatelské spouštění PowerShellu, skriptovacích hostitelů a nepodepsaných binárních souborů, zejména z uživatelsky zapisovatelných adresářů. Další vrstvu ochrany může nabídnout aplikační allowlisting.

Zaměstnanci i pracovníci helpdesku by měli vědět, že weby, CAPTCHA, falešné chybové stránky prohlížeče ani nevyžádané kontakty podpory nesmějí vyžadovat vložení příkazu do PowerShellu, Terminálu nebo dialogu Spustit. Nástroje pro vzdálenou podporu by měly být používány pouze ve schválených procesech, přes ověřené kanály, s vícefaktorovým ověřením, protokolováním relací a rychlou kontrolou neobvyklých připojení.

Dopad případného průniku pomůže omezit také segmentace sítě, princip nejmenších oprávnění, vícefaktorové ověřování, rychlé záplatování systémů vystavených internetu a pravidelně testované offline nebo neměnné zálohy.

Pokud se na stanici objeví podezřelý beaconing, shellová aktivita nebo DLL sideloading, měla by být bezodkladně izolována. Současně je důležité zachovat logy koncového zařízení, síťové záznamy a podle okolností také paměť pro následné vyšetřování.

Závěr

Význam C2Looperu spočívá hlavně v jeho vývoji od relativně přímočarého HTTP backdooru k flexibilnějšímu implantátu, který dokáže využívat repozitáře na GitHubu jako operační infrastrukturu. Vzdálený shell, průzkum systému, stahování a aktualizace z něj dělají věrohodný vstupní nástroj pro útoky související s ransomwarem. Dostupné důkazy však zatím vyžadují opatrnost a nepotvrzují definitivní přiřazení ke konkrétnímu aktérovi. Nejlepší obranou je kombinace odolnosti vůči podvodům ClickFix a behaviorálního vyhledávání neobvyklého spouštění příkazů, DLL sideloadingu přes OneDrive, rychlého HTTP pollingu a nevysvětlené aktivity na GitHubu.