Το νέο downloader που ανακάλυψε η ομάδα ερευνητών της ESET δεν έχει εντοπιστεί ξανά, ενώ το κύριο χαρακτηριστικό του είναι ότι χρησιμοποιεί διάφορα στάδια και πολλές ασυνήθιστες τεχνικές για να καταχωριθεί ως «Default Print Monitor».
Οι ερευνητές της ESET,
κατά την ανάλυση μίας κυβερνοεπίθεσης ενάντια σε στόχους στη Μέση
Ανατολή, εντόπισαν ένα τεχνικά ενδιαφέρον downloader. Το malware
χρησιμοποιεί πολλές παράδοξες τεχνικές, όπως είναι η καταχώριση ενός
νέου τοπικού συστήματος port monitor με το όνομα «Default Print
Monitor». Λόγω αυτής της τεχνικής, οι ερευνητές της ESET ονόμασαν το
downloader DePriMon, και, δεδομένης της πολυπλοκότητας και της αρθρωτής
αρχιτεκτονικής του, θεωρούν ότι αποτελεί ένα malware framework.
Σύμφωνα
με την τηλεμετρία της ESET, το malware DePriMon δραστηριοποιείται
τουλάχιστον από τον Μάρτιο του 2017. Ανιχνεύτηκε σε μια ιδιωτική
εταιρεία με έδρα την Κεντρική Ευρώπη και σε δεκάδες υπολογιστές στη Μέση
Ανατολή. Σε μερικές περιπτώσεις, το DePriMon εντοπίστηκε μαζί με το
κακόβουλο λογισμικό ColoredLambert, που χρησιμοποιείται από την ομάδα
κυβερνοκατασκοπείας Lamberts (γνωστή και ως Longhorn) και συνδέεται με
τη διαρροή Vault 7.
Οι ερευνητές της ESET πιστεύουν ότι το
DePriMon είναι ένα εξαιρετικά προηγμένο downloader, και ότι οι
δημιουργοί του έχουν καταβάλει σημαντική προσπάθεια για να δομήσουν την
αρχιτεκτονική του και να συνθέσουν τις σημαντικές λειτουργίες του.
Επομένως, αξίζει να δοθεί προσοχή και σε άλλα στοιχεία πέρα από την
περιορισμένη γεωγραφική κατανομή των στόχων του και την πιθανή σχέση του
με γνωστή ομάδα κυβερνοκατασκοπείας.
Το DePriMon εγκαθίσταται
στη μνήμη και εκτελείται απευθείας από εκεί ως αρχείο DLL
χρησιμοποιώντας την τεχνική φόρτωσης DLL. Δεν αποθηκεύεται ποτέ στο
δίσκο. Διαθέτει ένα εκπληκτικά εκτεταμένο αρχείο ρυθμίσεων με
ενδιαφέροντα στοιχεία, η κρυπτογράφησή του έχει εκτελεστεί σωστά και
προστατεύει αποτελεσματικά την επικοινωνία με τον C&C του. Ως
αποτέλεσμα, το DePriMon είναι ένα ισχυρό, ευέλικτο και ανθεκτικό
εργαλείο, που έχει σχεδιαστεί για να λαμβάνει και να εκτελεί ένα
payload, και στη συνέχεια να συλλέγει κάποιες βασικές πληροφορίες
σχετικά με το σύστημα και τους χρήστες του.