Исследователи
Check Point в пятницу
опубликовали отчет, в котором рассказали о своей новой методологии изучения эксплойтов для отслеживания их авторов.
В процессе реагирования на киберинциденты израильские ресерчеры обратили внимание на то, что в ряде случаев вредонос и используемый им эксплойт написаны разными людьми (командами). Об этом явно свидетельствовал анализ кода.
Таким образом, исследователи решили составить своеобразные fingerprint'ы авторов различных эксплойтов. В качестве отправной точки они взяли бинарный файл, являющийся чистым эксплойтом CVE-2019-0859, который был найден во время реагирования на одну из атак.
Для изучения эксплойтов они выделили несколько групп признаков, фактически оценивая бинарные файлы на разных уровнях.
В итоге
Check Point смогли установить принадлежность 10 эксплойтов одному и тому же автору, основываясь только на своем методе изучения fingerprint'ов. Его идентифицировали как
Volodya, ранее известный как
BuggiCorp. Все эксплойты были направлены на повышение локальных привилегий (LPE) в
Windows, половина из них основывалась на 0-day уязвимостях. Израильтяне даже составили таблицу клиентов
Volodya, покупавших у него эти эксплойты, среди которых нашлись вполне себе серьезные
APT -
Fancy Bear,
Turla,
FIN8,
Buhtrap и др.
Volodya, как считается, является украинским актором (скорее всего, конечно, это группа), специализирующимся на продаже эксплойтов 0-day уязвимостей под
Windows.
Кроме того исследователи смогли связать вместе пять эксплойтов, написанных актором
PlayBit, которые также были заточены на LPE.
Check Point всячески хвалят свою новую методу и призывают остальные инфосек команды брать ее на вооружение.