Manipuleeritud mäng: ScarCruft ründab mänguplatvormi tarneahela rünnaku abil

ESETi uurijad avastasid Põhja-Koreaga seotud APT-rühmituse ScarCrufti mitmeplatvormilise tarneahela rünnaku, mille sihtmärgiks on Hiina Yanbiani piirkond – etniliste korealaste kodupaik ning Põhja-Korea pagulaste ja üleläinute ületuskoht. Rünnakus, mis on tõenäoliselt kestnud alates 2024. aasta lõpust, kompromiteeris ScarCruft Yanbiani-teemalistele mängudele pühendatud videomänguplatvormi Windows- ja Android-komponente, nakatades need tagaukset sisaldava troojalase programmiga.

Tagauks, mille ESET nimetas BirdCalliks, oli algselt teadaolevalt suunatud ainult Windowsile; Androidi versioon avastati osana sellest tarneahela rünnakust. Selles blogipostituses anname ülevaate rünnakust ja esitame esimese avaliku analüüsi Androidi tagaukse kohta.

Selle blogipostituse põhipunktid:

• Põhja-Koreaga seotud APT-rühm ScarCruft rikkus videomänguplatvormi, mida kasutasid Hiina Yanbiani piirkonnas elavad korealased.
• Mänguplatvormi Windows-klient häkiti pahatahtliku värskenduse kaudu, mis viis RokRAT-tagaukseni, mis omakorda paigaldas keerukama BirdCall-tagauksi.
• Mänguplatvormil saadaval olevad Androidi mängud nakatati troojalastega, mis sisaldasid BirdCall-tagauksu Androidi versiooni – uut vahendit ScarCrufti arsenalis.
• Kampaania eesmärk on spionaaž, kus tagauks võimaldab koguda isikuandmeid ja dokumente, teha ekraanipilte ja salvestada häält.

ScarCrufti profiil

ScarCruft, tuntud ka kui APT37 või Reaper, on tegutsenud vähemalt alates 2012. aastast ja seda kahtlustatakse Põhja-Korea luuregrupina. See keskendub peamiselt Lõuna-Koreale, kuid sihtmärgiks on olnud ka teised Aasia riigid. ScarCruft tundub olevat huvitatud peamiselt valitsus- ja sõjaväeorganisatsioonidest ning erinevate tööstusharude ettevõtetest, mis on seotud Põhja-Korea huvidega. Rühmitus võtab sihikule ka Põhja-Korea põgenikke, mille kohta on viimane teave esitatud selles blogipostituses.

BirdCall tagauks

Windows-versioon

BirdCall on C++ keeles kirjutatud Windowsi tagauks, mille avastasime 2021. aastal ja mille seostasime ScarCruftiga ESETi ohuteabe aruande raames.

Tagauksel on laiaulatuslikud luurevõimalused, sealhulgas ekraanipiltide tegemine, klahvivajutuste ja lõikelauda sisu salvestamine, kasutajatunnuste ja failide varastamine ning shell-käskude täitmine. C&C-eesmärkidel kasutab tagauks seaduslikke pilvesalvestusteenuseid, nagu Dropbox või pCloud, või rünnatud veebisaite. BirdCall paigaldatakse tavaliselt mitmeastmelise laadimisahela kaudu, mis algab Ruby või Python skriptiga ja sisaldab arvutispetsiifilise võtmega krüpteeritud komponente. BirdCalli esialgset versiooni kirjeldasid Lõuna-Korea tarnijad 2021. aastal avalikult kui RokRATi (S2W, AhnLab) täiustatud versiooni.

Androidi versioon

BirdCalli Androidi versioon, mis avastati selles blogipostituses kirjeldatud rünnakus, rakendab osa Windowsi tagauksu käskudest ja võimekustest – see kogub kontakte, SMS-sõnumeid, kõnelogisid, dokumente, meediafaile ja privaatvõtmeid. Samuti suudab see teha ekraanipilte ja salvestada ümbritsevat heli.

Meie uuringute põhjal arendati Androidi versiooni BirdCall aktiivselt mitme kuu jooksul. Me tuvastasime seitse versiooni, alates versioonist 1.0 (loodud umbes 2024. aasta oktoobris) kuni versioonini 2.0 (loodud umbes 2025. aasta juunis).

Avastamine

Meie uurimine algas VirusTotalist leitud kahtlase APK-failiga. Esialgse analüüsi käigus tuvastasime, et APK on pahatahtlik ja sisaldab tagaukset.

Huvitaval kombel osutus APK-failiks trojaniseeritud kaardimäng nimega 延边红十 (masintõlge: Yanbian Red Ten), mille jälgisime tagasi selle ametlikule veebisaidile https://www.sqgame[.]net. sqgame on Yanbiani elanikele kohandatud mänguplatvorm, mis pakub traditsioonilisi Yanbiani mänge Windowsile, Androidile ja iOS-ile. Mängijad saavad sõpradega võistelda kaardi- ja lauamängudes (vt joonis 1) või osaleda korraldatud turniiridel.

Üllatuslikult on ametlikul veebisaidil allalaadimiseks saadaval olev APK sama, mis see, mille leidsime algselt VirusTotalist. Lisaks oli ka teine sqgame’ist allalaadimiseks saadaval olev Androidi mäng (新画图, masintõlge: New Drawing) trojaniseeritud sama tagauksuga. Täiendav analüüs näitas, et tagaukseks on ScarCrufti rühma BirdCall-tagauksest tehtud Androidi versioon.

Sqgame’i veebisaidil olev Windows-töölauakliendi link viib mõne aasta vanusele installijale, mis näib olevat puhas. See laadib pärast installimist küll alla uuendusi, kuid meie analüüsi käigus ei tuvastanud me seal ühtegi pahatahtlikku koodi.

ESETi telemeetriat täiendavalt uurides tuvastasime trojaniseeritud mono.dll-raamatukogu, mis pärines töölauakliendi värskenduste paketist. ESETi telemeetria näitab, et see värskenduste pakett oli olnud pahatahtlik vähemalt alates 2024. aasta novembrist, teadmata ajavahemiku jooksul. Artikli kirjutamise ajal ei olnud see värskenduste pakett enam pahatahtlik.

Kontrollisime ka sqgame veebisaidil kättesaadavat iOS-mängu ega leidnud seal ühtegi pahatahtlikku koodi. Arvatavasti jättis ScarCruft selle platvormi vahele, kuna rakenduse trojaniseerimine ja levitamine oleks olnud teiste platvormidega võrreldes palju keerulisem ning oleks võinud sattuda Apple’i kontrolliprotsessi alla.

Ohvrite profiil

Kuna käesoleva rünnaku käigus rünnatud veebisait on pühendatud Yanbiani elanikele ja nende traditsioonilistele mängudele, järeldame, et peamised sihtmärgid on Yanbianis elavad korealased. Yanbiani Korea autonoomne prefektuur on Hiina piirkond, mis piirneb Põhja-Koreaga ja kus elab suurim korealaste kogukond väljaspool Koread.

Selles kontekstis usume, et rünnaku eesmärk oli tõenäoliselt koguda teavet Yanbianis elavate (või sealt pärit) isikute kohta, keda Põhja-Korea režiim peab huvipakkuvaks – tõenäoliselt pagulaste või ülejooksikute kohta.

Rünnaku ülevaade

Android

Leiti, et kaks sqgame veebisaidil kättesaadavat Androidi mängu olid trojaniseeritud ja sisaldasid BirdCall-tagaukset. Joonisel 2 on näidatud allalaadimisleht aadressil https://www.sqgame[.]net/games/gamedownload.aspx, kus kahe trojaniseeritud mängu allalaadimisnupud on esile tõstetud punasega. Kolmas kättesaadav Androidi mäng oli meie analüüsi ajal puhas.

Leidsime tõendeid, et ohvrid laadisid trojaniseeritud mängud alla oma seadmete veebibrauseri kaudu ja tõenäoliselt installisid need tahtlikult. Me ei ole leidnud muid APK-failide asukohti. Samuti ei ole me leidnud pahatahtlikke APK-faile ametlikust Google Play poest.

Meil ei õnnestunud kindlaks teha, millal veebisait esmakordselt rünnati ja tarneahela rünnak algas. Siiski, tuginedes meie analüüsile levitatud pahavarast, hindame, et see juhtus 2024. aasta lõpus.

Tabelis 1 on esitatud kahe troojalise APK-faili hostingu-URL-id koos avastamise ajal pakutud failide hash-väärtustega. Käesoleva blogipostituse kirjutamise ajal olid pahatahtlikud failid endiselt sqgame’i veebisaidil. Teavitasime sqgame’i rikkumisest 2025. aasta detsembris, kuid pole vastust saanud.

Tabel 1. Pahatahtlikud näidised

Windows

Kuigi sqgame’i veebisaidil kättesaadav Windows-töölauaklient ei sisaldanud pahavara, kui me seda analüüsisime, tuvastasime hiljem trojaniseeritud mono.dll- raamatukogu, mis pärines töölauakliendi värskenduspaketist, mida hostiti aadressil http://xiazai.sqgame.com[.]cn/dating/20240429.zip. ESETi telemeetria näitab, et see värskenduspakett oli olnud pahatahtlik vähemalt alates 2024. aasta novembrist teadmata ajavahemiku jooksul – kuid käesoleva artikli kirjutamise ajal ei olnud see värskenduspakett enam pahatahtlik.

ScarCruft võttis puhta mono-teegi ja lisas sellele täiendavat koodi ja andmeid, mis sisaldasid allalaadijat. Allalaadija kontrollib esmalt käimasolevaid protsesse analüüsitööriistade ja virtuaalmasina keskkondade suhtes ning ei jätka, kui neid leitakse. Muidu otsib ta sqgame-kliendi protsessi ja loob tee mono-teegini selle installikausta.

Seejärel laadib ta alla ja käivitab shellkoodi, mis avastamise ajal sisaldas RokRAT-tagaukset. Lõpuks lõpetab allalaadija kliendi protsessi ja laadib alla mono-raamatukogu algse puhta versiooni, asendades sellega installitud kliendi kausta trojaniseeritud versiooni. Nii kasulik koorem kui ka puhas mono-raamatukogu laaditakse alla seaduslikelt Lõuna-Korea veebisaitidelt, mis olid selleks otstarbeks kompromiteeritud – see on ScarCrufti tüüpiline TTP.

Meie telemeetria andmetel kasutati RokRAT-tagaukset seejärel BirdCall-tagauksete allalaadimiseks ja installimiseks ohvrite arvutitesse.

Androidi BirdCalli analüüs

Selles jaotises esitame tehnilise analüüsi Androidi BirdCall-tagauksest – C++-keeles kirjutatud samanimelise Windowsi tagaukse Androidi versioonist. Sisemiselt kannab tagaukse nime zhuagou, mida võib (hiina keelest) tõlkida kui „koerte püüdmine”.

Trojaniseeritud Androidi mängud

Android BirdCall levitatakse trojaniseeritud Androidi mängude kaudu. Selles blogipostituses kirjeldatud rünnaku puhul usume, et ScarCruft ei saanud juurdepääsu mängu lähtekoodile, vaid ainult veebisaidile sqgame või veebiserverile, ning võttis selle asemel originaalmängu APK-failid ja kompileeris või pakkis need ümber, lisades neile pahatahtliku koodi.

Trojaniseeritud APK-failides on muudetud AndroidManifest.xml sisenemispunkti tegevust ja see viitab lisatud pahatahtlikule koodile, mis pärast tagauksu käivitamist käivitab mängu algse sisenemistegevuse.

Analüüsitud näidistes oli muudetud sisenemispunkti tegevus kas com.example.zhuagou.SplashScreen või com.mob.util.MobSs (viimases näidises). AndroidManifest.xml-i muudatused hõlmavad ka tagauksele uusi tegevuste ja teenuste määratlusi, samuti selle toimimiseks vajalikke täiendavaid õigusi. Originaalmängu ja selle trojaniseeritud versiooni pakettide võrdlus on näidatud joonisel 3.

Kuna Androidi BirdCall-tagauks on osa süsteemi installitud trojaniseeritud Androidi rakendusest, ei käivitu see automaatselt pärast installimist või seadme taaskäivitamist, vaid sõltub kasutaja poolt käivitamisest.

Konfiguratsioon

Android BirdCall sisaldab vaikimisi konfiguratsiooni, mis initsialiseeritakse esimesel käivitamisel. Konfiguratsioon kasutab JSON-vormingut ja salvestatakse faili. Järgmised käivitamised laadivad olemasoleva konfiguratsioonifaili ning konfiguratsiooni saab muuta tagauksukäskude abil. Näide vormindatud konfiguratsioonist on esitatud joonisel 4.

{ "bi": "E823D451D636D0A0", "skey": "A8FE823D451D636D0A0366C0629EF5C3##@(()(#@", "si": "20251105141404", "rft": 20000, "fst": true, "kill": false, "log": true, "ctm": 10000, "scr": false, "rec": false, "cmd": 0, "data": 1, "bd_version": 37, "extentions": ".jpg;.doc;.docx;.xls;.xlsx;.ppt;.pptx;.txt;.hwp;.pdf;.m4a;.p12;", "cloud": [ { "ct": 9, "idx": 28, "cid": "1000.2IGB56IS1FHQ1V332R[redigeeritud]", "cst": "fa7ec5c8b050[redigeeritud]", "rt": "1000.a7fc479e[redigeeritud]", "at": "empty", "fid": "8mwe5bbc0a2759839401f813968808a2f36a6", "dm": "", "use": 0 }, [redacted] ] }

Joonis 4. Androidi BirdCalli konfiguratsiooni näide

Konfiguratsioonikanne bd_version kodeerib tagauksu versiooni, mis on salvestatud kujul MAJOR << 5 | MINOR, seega väärtus 37 vastab versioonile 1.5.

Püsiv konfiguratsioonifail on salvestatud rakenduse andmekataloogi ja sellel on seadmespetsiifiline tee. Lisaks sellele võib konfiguratsiooni algseadistamise ajal näites kõvakooditud pilvesalvestuse vaikimisi konfiguratsiooni asendada välise allikaga. Kui see on saadaval, laadib tagauks alla JPG-pildi, mis sisaldab oma ülekattega krüpteeritud pilvekonfiguratsiooni. Pilt asub tavaliselt nakatunud Lõuna-Korea veebisaidil.

C&C-side

Android BirdCall kasutab C&C-side jaoks pilvesalvestusdraive, sarnaselt Windows-versiooniga. Analüüsitud näidistes toetatakse kolme pilvepakkujat: pCloud, Yandex Disk ja Zoho WorkDrive, kuigi kasutatakse ainult Zoho WorkDrive’i. Tagauks suhtleb HTTPS-i kaudu, saates päringuid vastava pakkuja API-lõpppunktidele, kasutades okhttp3-raamatukogu.

Meie uurimistöö käigus täheldasime 12 Zoho WorkDrive’i salvestusruumi, mida Android BirdCall tagaukse tarkvara kasutas C&C-eesmärkidel. Seotud kontode üksikasjad on esitatud tabelis 2.

Tabel 2. Android BirdCall Zoho WorkDrive’i kontod

Võimalused

Android BirdCallil on uuendamise mehhanism: uuem versioon saab laadida uuendustest, mis peaksid olema APK-vormingus rakenduse andmekataloogis, ning nende allalaadimine käivitatakse käsuga MP_SEND_FILE.

Pärast vabatahtlikku uuendamisprotseduuri käivitatakse algne mängu tegevus, et mitte äratada kahtlust. Seejärel kontrollib tagauks internetiühendust ja ootab seda, enne kui jätkab oma peamist tegevust.

Andmete kogumine

Esimesel käivitamisel kogub tagauks seadme peamise jagatud välise mälu täieliku kataloogiloendi ning kasutajaandmed, mis koosnevad kontaktide loendist, kõnelogist ja SMS-sõnumitest.

Tagauks kontrollib perioodiliselt C&C-d ja laadib üles põhiandmed, mis koosnevad järgmisest:

• konfiguratsiooni ja hetkeaja identifikaatorväärtused,
• aku temperatuur, RAM-i ja salvestusruumi andmed, pilve konfiguratsioon, tagauksversioon ja huvipakkuvad faililaiendid,
• IP-geolokatsiooni teave veebisaidilt https://ipinfo[.]io/json ning
• esimesel käivitamisel lisatakse täiendav teave seadme, võrgu ja rakenduse kohta:

  ○
  tootja, mudel, operatsioonisüsteem, tuum ja root-õiguste olemasolu,

  ○
  IMEI-number, IP-aadress, MAC-aadress ja võrgutüüp ning

  ○
  rakenduste pakett ja õigused.

Tagauks võib perioodiliselt teha ekraanipilte (scr-lipik ). Mõnes versioonis täheldasime tehnikat, kus ekraanipiltide tegemise ajal mängitakse vaikselt MP3-faili, mida kasutatakse selleks, et vältida troojaniga nakatatud rakenduse peatamist taustal töötamise ajal.

Mõnes versioonis suudab tagauks salvestada heli mikrofoni kaudu ja pealt kuulata nakatunud seadme ümbrust. Kummalisel kombel on salvestamine, isegi kui see on lubatud (rec-lipik ), piiratud kolme tunniga õhtul, kohaliku aja järgi kella 19–22.

Tagauks otsib perioodiliselt jagatud välismälust huvipakkuvate laienditega faile (extentions) ja valmistab need andmete väljavoolamiseks ette. Meie analüüsitud näidistes oli andmete väljavool suunatud meediafailidele, dokumentidele ja privaatsetele võtmetele: .jpg, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .txt, .hwp, .pdf, .m4a ja .p12.

Käsud

Androidi versioon BirdCall kontrollib perioodiliselt pilvemäluseadet ohvrile antud käskude olemasolu suhtes. Dekrüptitud käsud algavad maagilise DWORD-väärtusega 0x2A7B4C33, mis vastab BirdCalli Windowsi versioonile. Käsud võivad sõltuvalt tüübist sisaldada null või rohkem parameetreid. Tabelis 3 on esitatud ülevaade toetatud käskudest koos nende kirjeldustega mõlema platvormi jaoks.

Androidi versioonis on rakendatud vaid osa Windows-versioonis kättesaadavatest käskudest.

Tabel 3. BirdCall-tagauksukäsud

Dump, mis sisaldab BirdCalli Windows-versiooni, mis sarnaneb väga sellega, mida me käesolevas rünnakus täheldasime, ja sisaldab kõiki eespool loetletud käske, on leitav VirusTotalist SHA‑1 B06110E0FEB7592872E380B7E3B8F77D80DD1108 all. Näidis laaditi üles Hiinast^15. juulil 2024.

Järeldus

Oleme avastanud mitmeplatvormilise tarneahela rünnaku, mis on suunatud Yanbiani piirkonnale läbi kompromiteeritud videomänguplatvormi. Analüüsides platvormil olevaid trojaniseeritud Androidi mänge, avastasime ScarCrufti arsenalis uue tööriista – rühmituse BirdCall tagauksu Androidi versiooni. Androidi tagaukse arendamine on olnud aktiivne ning see pakub jälgimisvõimalusi, nagu isikuandmete ja dokumentide kogumine, ekraanipiltide tegemine ja häälsalvestuste tegemine.

Kui teil on küsimusi WeLiveSecurity veebisaidil avaldatud uuringute kohta, võtke meiega ühendust aadressil threatintel@eset.com.

ESET Research pakub privaatseid APT-luurearuandeid ja andmevooge. Kui teil on selle teenuse kohta küsimusi, külastage ESETi ohuteabe lehekülge.

IoC-d

Täielik nimekiri ohuindikaatoritest (IoC) ja näidetest on kättesaadav meie GitHubi andmebaasis.

Failid

Võrk

MITRE ATT&CK-tehnikad

See tabel on koostatud MITRE ATT&CK Enterprise raamistiku versiooni 18 alusel.

Tabel on koostatud MITRE ATT&CK Mobile raamistiku versiooni 18 alusel.

Loe täismahus analüüsi WeLiveSecurity veebist →