Подстроенная игра: ScarCruft взломал игровую платформу в результате атаки на цепочку поставок

Исследователи ESET раскрыли мультиплатформенную атаку на цепочку поставок, организованную связанной с Северной Кореей APT-группой ScarCruft, направленную на регион Яньбянь в Китае — место проживания этнических корейцев и переходный пункт для северокорейских беженцев и перебежчиков. В ходе атаки, вероятно продолжающейся с конца 2024 года, ScarCruft скомпрометировала Windows- и Android-компоненты игровой платформы, посвященной играм на тему Яньбяня, заразив их трояном с бэкдором.

Бэкдор, получивший от ESET название BirdCall, изначально, как было известно, нацеливался только на Windows; версия для Android была обнаружена в рамках этой атаки на цепочку поставок. В этом блоге мы представляем обзор атаки и первый публичный анализ бэкдора для Android.

Ключевые моменты этой статьи:

• Группа APT ScarCruft, связанная с Северной Кореей, взломала игровую платформу, используемую этническими корейцами, проживающими в регионе Яньбянь в Китае.
• Windows-клиент игровой платформы был взломан с помощью вредоносного обновления, которое привело к установке бэкдора RokRAT, который в свою очередь развернул более сложный бэкдор BirdCall.
• Игры для Android, доступные на игровой платформе, были заражены трояном, содержащим Android-версию бэкдора BirdCall — нового инструмента в арсенале ScarCruft.
• Целью кампании является шпионаж: бэкдор способен собирать личные данные и документы, делать скриншоты и записывать голос.

Профиль ScarCruft

Группа ScarCruft, также известная как APT37 или Reaper, действует по крайней мере с 2012 года и, как предполагается, является северокорейской шпионской группой. В первую очередь она нацелена на Южную Корею, но в сферу ее интересов попадают и другие азиатские страны. ScarCruft, по-видимому, интересуется в основном правительственными и военными организациями, а также компаниями из различных отраслей, связанных с интересами Северной Кореи. Группа также нацелена на северокорейских перебежчиков, о чем свидетельствует последняя подобная активность, описанная в этом блоге.

Бэкдор BirdCall

Версия для Windows

BirdCall — это бэкдор для Windows, написанный на C++, который мы обнаружили в 2021 году и отнесли к ScarCruft в рамках отчетности ESET Threat Intelligence.

Бэкдор обладает широким спектром шпионских возможностей, включая создание скриншотов, регистрацию нажатий клавиш и содержимого буфера обмена, кражу учетных данных и файлов, а также выполнение команд оболочки. Для связи с командно-контрольным сервером бэкдор использует легитимные облачные хранилища, такие как Dropbox или pCloud, либо взломанные веб-сайты. BirdCall обычно развертывается в многоступенчатой цепочке загрузки, начинающейся со скрипта на Ruby или Python и содержащей компоненты, зашифрованные с помощью ключа, специфичного для конкретного компьютера. Первоначальная версия BirdCall была публично описана южнокорейскими поставщиками в 2021 году как усовершенствованная версия RokRAT (S2W, AhnLab).

Версия для Android

Версия BirdCall для Android, обнаруженная в ходе атаки, которую мы описываем в этом блоге, реализует поднабор команд и возможностей бэкдора для Windows — она собирает контакты, SMS-сообщения, журналы вызовов, документы, медиафайлы и закрытые ключи. Она также может делать скриншоты и записывать окружающий звук.

По результатам нашего исследования, Android-версия BirdCall активно разрабатывалась в течение нескольких месяцев. Мы выявили семь версий, начиная с версии 1.0 (созданной примерно в октябре 2024 года) и заканчивая версией 2.0 (созданной примерно в июне 2025 года).

Обнаружение

Наше расследование началось с подозрительного APK-файла, обнаруженного на VirusTotal. В ходе первоначального анализа мы установили, что APK является вредоносным и содержит бэкдор.

Интересно, что APK оказался троянской карточной игрой под названием 延边红十 (машинный перевод: «Яньбяньская красная десятка»), которую мы отследили до ее официального сайта https://www.sqgame[.]net. sqgame — это игровая платформа, созданная специально для жителей Яньбяня, на которой размещены традиционные яньбяньские игры для Windows, Android и iOS. Игроки могут соревноваться в карточных и настольных играх (см. рис. 1) с друзьями или участвовать в организованных турнирах.

Удивительно, но APK, доступный для скачивания на официальном сайте, совпадает с APK, который мы изначально обнаружили на VirusTotal. Более того, вторая игра для Android (新画图, машинный перевод: «Новое рисование»), доступная для скачивания на sqgame, также была троянизирована с помощью того же бэкдора. Дальнейший анализ показал, что этот бэкдор представляет собой Android-порт бэкдора BirdCall группы ScarCruft.

Ссылка на клиент для Windows на сайте sqgame ведет к установочному файлу, выпущенному несколько лет назад, который, по-видимому, чист. После установки он загружает обновления, но в ходе нашего анализа мы не обнаружили в нем вредоносного кода.

Проведя дополнительное расследование с помощью телеметрии ESET, мы обнаружили троянскую библиотеку mono.dll, происходящую из пакета обновлений для настольного клиента. Телеметрия ESET показывает, что этот пакет обновлений был вредоносным, по крайней мере, с ноября 2024 года в течение неизвестного периода времени. На момент написания этой статьи этот пакет обновлений уже не был вредоносным.

Мы также проверили игру для iOS, доступную на веб-сайте sqgame, и не обнаружили в ней вредоносного кода. Мы полагаем, что ScarCruft пропустил эту платформу, поскольку троянизация и доставка приложения были бы гораздо сложнее по сравнению с другими платформами и, возможно, столкнулись бы с процессом проверки Apple.

Виктимология

Поскольку веб-сайт, скомпрометированный в ходе этой атаки, посвящен жителям Яньбяня и их традиционным играм, мы делаем вывод, что основными целями являются этнические корейцы, проживающие в Яньбяне. Корейский автономный округ Яньбянь — это регион в Китае, граничащий с Северной Кореей, где проживает крупнейшая община этнических корейцев за пределами Кореи.

В этом контексте мы полагаем, что атака, вероятно, была направлена на сбор информации о лицах, проживающих в регионе Яньбянь (или происходящих оттуда) и представляющих интерес для северокорейского режима — скорее всего, о беженцах или перебежчиках.

Обзор атаки

Android

Было обнаружено, что две из игр для Android, доступных на веб-сайте sqgame, были заражены трояном, содержащим бэкдор BirdCall. Страница загрузки, доступная по адресу https://www.sqgame[.]net/games/gamedownload.aspx, показана на рисунке 2, где кнопки загрузки для двух зараженных игр выделены красным цветом. Третья доступная игра для Android на момент нашего анализа была чистой.

Мы обнаружили доказательства того, что жертвы скачивали зараженные трояном игры через веб-браузер на своих устройствах и, вероятно, устанавливали их намеренно. Мы не обнаружили никаких других мест, где могли бы находиться эти APK-файлы. Мы также не обнаружили вредоносных APK-файлов в официальном магазине Google Play.

Нам не удалось определить, когда сайт был взломан впервые и началась атака на цепочку поставок. Однако, основываясь на нашем анализе развернутого вредоносного ПО, мы предполагаем, что это произошло в конце 2024 года.

В таблице 1 приведены URL-адреса хостинга двух троянских APK-файлов, а также хэши файлов, доступных на момент обнаружения. На момент написания этой статьи вредоносные файлы все еще находились на веб-сайте sqgame. Мы уведомили sqgame о взломе в декабре 2025 года, но ответа не получили.

Таблица 1. Вредоносные образцы

Windows

Хотя настольный клиент для Windows, доступный на веб-сайте sqgame, не содержал вредоносного кода, когда мы его анализировали, позже мы обнаружили троянную библиотеку mono.dll, происходящую из пакета обновлений для настольного клиента, размещенного по URL http://xiazai.sqgame.com[.]cn/dating/20240429.zip. Телеметрия ESET показывает, что этот пакет обновлений был вредоносным, по крайней мере, с ноября 2024 года в течение неизвестного периода, но на момент написания статьи этот пакет обновлений уже не был вредоносным.

ScarCruft взял чистую библиотеку mono и вставил в нее дополнительный код и данные, содержащие загрузчик. Загрузчик сначала проверяет запущенные процессы на наличие инструментов анализа и сред виртуальных машин и не продолжает работу, если что-либо из этого обнаружено. В противном случае он ищет процесс клиента sqgame и формирует путь к библиотеке mono в его папке установки.

Далее он загружает и запускает шелл-код, который на момент обнаружения содержал бэкдор RokRAT. Наконец, загрузчик завершает процесс клиента и загружает исходную чистую версию библиотеки Mono, заменяя троянскую версию в папке установленного клиента. И полезный груз, и чистая библиотека Mono загружаются с легитимных южнокорейских веб-сайтов, которые были взломаны для этой цели — типичная тактика ScarCruft.

Согласно нашей телеметрии, бэкдор RokRAT впоследствии использовался для загрузки и установки бэкдора BirdCall на компьютеры жертв.

Анализ Android BirdCall

В этом разделе мы приводим технический анализ бэкдора BirdCall для Android — Android-порта одноименного бэкдора для Windows, написанного на C++. Внутри бэкдор называется zhuagou, что с китайского можно перевести как «ловля собак».

Троянские игры для Android

Android BirdCall распространяется через троянские игры для Android. В случае атаки, описанной в этом блоге, мы полагаем, что ScarCruft не получил доступ к исходному коду игры, а лишь к веб-сайту или веб-серверу sqgame, и вместо этого взял оригинальные APK-файлы игры и перекомпилировал или переупаковал их с добавлением вредоносного кода.

В троянских APK-файлах точка входа в AndroidManifest.xml изменена и указывает на добавленный вредоносный код, который после запуска бэкдора выполняет исходную точку входа игры.

В проанализированных образцах измененной точкой входа была либо com.example.zhuagou.SplashScreen, либо com.mob.util.MobSs (в последнем образце). Изменения в AndroidManifest.xml также включают новые определения активности и сервиса для бэкдора, а также дополнительные разрешения, необходимые для его работы. Сравнение пакетов в оригинальной игре и ее троянской версии показано на рисунке 3.

Поскольку бэкдор Android BirdCall является частью троянского приложения для Android, установленного в системе, он не запускается автоматически после установки или перезагрузки устройства; вместо этого он полагается на запуск пользователем.

Настройка

Android BirdCall содержит конфигурацию по умолчанию, которая инициализируется при первом запуске. Конфигурация использует формат JSON и сохраняется в файле. При последующих запусках загружается существующий файл конфигурации, и конфигурацию можно изменять с помощью команд бэкдора. Пример отформатированной конфигурации показан на рисунке 4.

{ "bi": "E823D451D636D0A0", "skey": "A8FE823D451D636D0A0366C0629EF5C3##@(()(#@", "si": "20251105141404", "rft": 20000, "fst": true, "kill": false, "log": true, "ctm": 10000, "scr": false, "rec": false, "cmd": 0, "data": 1, "bd_version": 37, "extentions": ".jpg;.doc;.docx;.xls;.xlsx;.ppt;.pptx;.txt;.hwp;.pdf;.m4a;.p12;", "cloud": [ { "ct": 9, "idx": 28, "cid": "1000.2IGB56IS1FHQ1V332R[удалено]", "cst": "fa7ec5c8b050[удалено]", "rt": "1000.a7fc479e[удалено]", "at": "empty", "fid": "8mwe5bbc0a2759839401f813968808a2f36a6", "dm": "", "use": 0 }, [redacted] ] }

Рисунок 4. Пример конфигурации Android BirdCall

Запись конфигурации bd_version кодирует версию бэкдора, хранящуюся в формате MAJOR << 5 | MINOR, поэтому значение 37 соответствует версии 1.5.

Файл конфигурации сохраняется в каталоге данных приложения и имеет путь, зависящий от конкретного устройства. Кроме того, во время инициализации конфигурации настройки облачного хранилища, жестко заданные в примере, могут быть переопределены внешним источником. При наличии бэкдор загружает изображение в формате JPG, содержащее зашифрованную конфигурацию облачного хранилища, встроенную в его наложение. Изображение обычно размещается на взломанном южнокорейском веб-сайте.

Связь с C&C

Android BirdCall использует облачные хранилища для связи с C&C, аналогично версии для Windows. В проанализированных образцах поддерживаются три облачных провайдера: pCloud, Yandex Disk и Zoho WorkDrive, хотя используется только Zoho WorkDrive. Бэкдор обменивается данными по HTTPS, отправляя запросы на конечные точки API соответствующего провайдера с помощью библиотеки okhttp3.

В ходе нашего исследования мы обнаружили 12 дисков Zoho WorkDrive, используемых бэкдором Android BirdCall для целей связи с C&C-сервером. Подробные сведения о связанных учетных записях приведены в таблице 2.

Таблица 2. Учетные записи Zoho WorkDrive для Android BirdCall

Возможности

Android BirdCall имеет механизм обновления: новую версию можно загрузить из файла обновления, который, как ожидается, будет иметь формат APK в каталоге данных приложения, а его загрузка запускается с помощью команды MP_SEND_FILE.

После необязательной процедуры обновления запускается исходная игровая активность, чтобы не вызвать подозрений. Затем бэкдор проверяет наличие интернет-соединения и ожидает его, прежде чем приступить к основной операции.

Сбор данных

При первом запуске бэкдор собирает полный список каталогов основного общего внешнего хранилища устройства, а также пользовательские данные, состоящие из списка контактов, журнала вызовов и SMS-сообщений.

Бэкдор периодически связывается с C&C-сервером и отправляет базовую информацию, которая состоит из:

• значения идентификаторов из конфигурации и текущее время,
• температура батареи, информация об ОЗУ и хранилище, конфигурация облачного хранилища, версия бэкдора и интересующие расширения файлов,
• информация о геолокации IP с https://ipinfo[.]io/json, а
• при первом запуске включается дополнительная информация об устройстве, сети и приложении:

  ○
  марка, модель, ОС, ядро и статус рутирования,

  ○
  номер IMEI, IP-адрес, MAC-адрес и тип сети, а также

  ○
  пакет приложения и разрешения.

Бэкдор может периодически делать скриншоты (флагscr ). В некоторых версиях мы наблюдали технику, при которой во время создания скриншотов в цикле воспроизводился бесшумный MP3-файл, что используется для предотвращения приостановки троянского приложения при работе в фоновом режиме.

В некоторых версиях бэкдор может записывать звук через микрофон и прослушивать окружающую обстановку вокруг зараженного устройства. Странно, но даже если запись включена (флагrec ), она ограничена трехчасовым периодом вечером, с 19:00 до 22:00 по местному времени.

Бэкдор периодически сканирует общедоступное внешнее хранилище в поисках файлов с интересующими его расширениями (extensions) и готовит их к выносу. В проанализированных нами образцах вынос был нацелен на медиафайлы, документы и закрытые ключи: .jpg, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .txt, .hwp, .pdf, .m4a и .p12.

Команды

Android-версия BirdCall периодически проверяет облачное хранилище на наличие команд, отправленных для жертвы. Расшифрованные команды начинаются с магического DWORD 0x2A7B4C33, и это значение совпадает с Windows-версией BirdCall. Команды имеют от нуля до нескольких параметров, в зависимости от их типа. В таблице 3 приведен обзор поддерживаемых команд с их описаниями для обеих платформ.

Версия бэкдора для Android реализует только поднабор команд, доступных в версии для Windows.

Таблица 3. Команды бэкдора BirdCall

Дамп, содержащий версию BirdCall для Windows, которая очень похожа на ту, что мы наблюдали в этой атаке, и включает все перечисленные выше команды, можно найти на VirusTotal с SHA‑1 B06110E0FEB7592872E380B7E3B8F77D80DD1108. Образец был загружен из Китая¹⁵ июля 2024 года.

Заключение

Мы выявили мультиплатформенную атаку по цепочке поставок, направленную на регион Яньбянь через взломанную платформу видеоигр. Анализируя троянские игры для Android на этой платформе, мы обнаружили новый инструмент в арсенале ScarCruft — Android-версию бэкдора BirdCall, разработанного этой группой. Бэкдор для Android активно развивается и предоставляет возможности слежения, такие как сбор личных данных и документов, создание снимков экрана и запись голоса.

По любым вопросам, касающимся наших исследований, опубликованных на WeLiveSecurity, обращайтесь к нам по адресу threatintel@eset.com.

ESET Research предлагает частные отчеты по APT-угрозам и информационные ленты. По любым вопросам об этой услуге посетите страницу ESET Threat Intelligence.

IoC

Полный список индикаторов компрометации (IoC) и образцов можно найти в нашем репозитории GitHub.

Файлы

Сеть

Техники MITRE ATT&CK

Эта таблица была составлена с использованием версии 18 фреймворка MITRE ATT&CK Enterprise.

Эта таблица была составлена с использованием версии 18 фреймворка MITRE ATT&CK Mobile.

Читать полный анализ на WeLiveSecurity →