Kapeka – backdoor od APT Sandstorm

Rosyjska grupa Sandworm używa nowego backdoora do atakowania Ukrainy i sojuszników

17.04.2024

W nawiązaniu do nowych informacji od Withsecure, Rosyjska grupa APT Sandworm używa podobno nowego backdoora, „Kapeka”, do atakowania organizacji na Ukrainie oraz w innych krajach Europy Wschodniej i Środkowej.
Uważa się, że Kapeka, wyrafinowane narzędzie, które zostało opracowane w odpowiedzi na trwający konflikt rosyjsko-ukraiński i prawdopodobnie było wykorzystywane w ukierunkowanych atakach od czasu nielegalnej inwazji Ukrainy w 2022 roku. Podejrzewa się, że odegrało ono rolę we wdrożeniu oprogramowania ransomware Prestige, które pod koniec 2022 r. atakowało branże transportu i logistyki na Ukrainie i w Polsce. Zachowaj czujność!

Obecnie nie ma prawie żadnej publicznej wiedzy na temat backdoora Kapeka poza krótkim opisem opublikowanym przez Microsoft 14 lutego 2024 r., dotyczącym odkrycia nowego backdoora, który nazywa KnuckleTouch. Microsoft przypisuje backdoora KnuckleTouch do grupy SeaShell Blizzard, znanej tez pod nazwą Sandworm. Nie ma analizy tego złośliwego oprogramowania przeprowadzonej przez Microsoft, ale WithSecure jest przekonany, że KnuckleTouch to Kapeka.

We własnej analizie firma WithSecure znalazła liczne zbieżności między Kapeka i GreyEnergy.

Istnieją dwa główne potencjalne zastosowania Kapeki. Po pierwsze, jeśli zostanie pomyślnie dostarczony, jego mechanizmy ukrycia i trwałości mogą prowadzić do długoterminowego cyberszpiegostwa.
Po drugie, Kapeka może być wykorzystywana do dostarczania złośliwego oprogramowania.

YARA Rules i IOC:

GitHub: https://github.com/WithSecureLabs/iocs/tree/master/Kapeka

Szczegóły:
https://labs.withsecure.com/publications/kapeka