Kazuar: da backdoor a botnet P2P modulare

I ricercatori di Microsoft hanno pubblicato i dettagli su un sofisticato malware, denominato Kazuar, utilizzato dal gruppo Secret Blizzard (affiliato al servizio di intelligence russo). Analizzando le ultime versioni hanno scoperto che alla precedente funzionalità di backdoor è stata aggiunta quella di botnet P2P modulare per mantenere la persistenza nei sistemi target (principalmente di organizzazioni governative e diplomatiche).

Kazuar: moduli Kernel, Bridge e Worker

Kazuar viene distribuito tramite vari dropper, tra cui Pelmeni e ShadowLoader. Alla fine sul sistema ci saranno tre tipi di moduli: Kernel, Bridge e Worker. Il modulo Kernel svolge il ruolo di coordinatore della botnet. Assegna i compiti al modulo Worker, gestisce le comunicazioni con il modulo Bridge e conserva i log delle azioni e dei dati raccolti. Per limitare le comunicazioni esterne viene usato un leader che comunica con il modulo Bridge per conto degli altri moduli Kernel.

Il modulo Bridge svolge il ruolo di proxy tra il modulo Kernel e il server C2 (command and control) per le comunicazioni esterne, usando vari protocolli come HTTP, WebSockets o Exchange Web Services (EWS). Per le comunicazioni interne usa invece Windows Messaging, Mailslots e named pipes.

Il modulo Worker esegue infine i compiti assegnati dal modulo Kernel. Si tratta in pratica di cyberspionaggio. Raccoglie innanzitutto numerose informazioni sul sistema (configurazione hardware, versione del sistema operativo, account utenti e altre). Può inoltre registrare i tasti premuti (keylogging), catturare screenshot e rubare dati (documenti, file, email) che vengono inviati al server C2 in forma cifrata tramite il modulo Bridge.

Tramite un pannello di controllo, i cybercriminali possono cambiare la configurazione della botnet, scegliendo ad esempio il metodo per aggirare la rilevazione da parte dei tool di sicurezza e l’orario di esfiltrazione dei dati. I software di Microsoft, tra cui Defender XDR e Defender Antivirus possono rilevare e bloccare i moduli di Kazuar.