En febrero de 2020, descubrimos un nuevo backdoor modular al que llamamos PipeMon. Persistiendo como un procesador de impresión, este backdoor fue utilizado por el Grupo Winnti contra varias compañías que desarrollan videojuegos multijugador online masivos (MMO, por sus siglas en inglés) con sede en Corea del Sur y Taiwán. Los videojuegos desarrollados por estas compañías están disponibles en populares plataformas que cuentan con la participación de miles de jugadores de manera simultánea.
En al menos una oportunidad, los operadores de este malware lograron comprometer un sistema de compilación (build system) de una de sus víctimas, lo que podría haber llevado a un ataque de cadena de suministro al permitir a los atacantes troyanizar los ejecutables del juego. En otro caso, los servidores del videojuego fueron comprometidos, lo que podría haber permitido a los atacantes, por ejemplo, manipular las divisas del propio juego para obtener ganancias financieras.
El Grupo Winnti, activo desde al menos 2012, es responsable de llevar adelante ataques de cadena de suministro de alto perfil contra la industria del software, lo que llevó a la distribución distintos software troyanizados (como CCleaner , ASUS LiveUpdate, así como múltiples videojuegos) que luego eran utilizados para comprometer a más víctimas. Recientemente, investigadores de ESET también descubrieron una campaña del Grupo Winnti dirigida a varias universidades de Hong Kong en la que utilizaron los malware ShadowPad y Winnti.
Sobre el nombre del "Grupo Winnti":
Hemos elegido mantener el nombre "Grupo Winnti", ya que es el nombre que se utilizó por primera vez para identificar a este grupo por Kaspersky, en el año 2013. Como Winnti también es una familia de malware, siempre escribimos "Grupo Winnti" cuando nos referimos a los cibercriminales detrás de los ataques. Asimismo, desde 2013 se demostró que Winnti es solo una de las muchas familias de malware utilizadas por el Grupo Winnti.
Atribución al Grupo Winnti
Múltiples indicadores nos llevaron a atribuir esta campaña al Grupo Winnti. Algunos de los dominios de C&C utilizados por PipeMon fueron utilizados por el malware Winnti en campañas anteriores que fueron mencionadas en nuestro artículo sobre el arsenal utilizado por el Grupo Winnti. Asimismo, el malware Winnti también se descubrió en 2019 en algunas de las compañías que luego fueron comprometidas con PipeMon.
Además del malware Winnti, descubrims que para esta campaña se utilizó un binario personalizado de AceHash (un recopilador de credenciales) que encontramos en otras víctimas de Winnti y que estaba firmado con un conocido certificado robado que anteriormente había sido utilizado por el grupo (Wemade IO).
El certificado utilizado para firmar el instalador, los módulos y las herramientas adicionales de PipeMon está vinculado a una compañía de videojuegos que se vio comprometida en un ataque de cadena de suministro a fines de 2018 por el Grupo Winnti, y probablemente fue robado en ese momento.
Curiosamente, los módulos de PipeMon se instalan en %SYSTEM32%\spool\prtprocs\x64\; esta ruta también fue utilizada en el pasado para droppear la segunda etapa del CCleaner troyanizado.
Además, comprometer un entorno de compilación para desarrolladores de software para posteriormente comprometer una aplicación legítima es un accionar conocido por el Grupo Winnti.
Compañías apuntadas en esta campaña
Las compañías apuntadas en esta campaña son desarrolladores de videojuegos MMO que tienen su sede en Corea del Sur y Taiwán. En al menos un caso, los atacantes pudieron comprometer el servidor de compilación orquestado de la compañía, permitiéndoles tomar el control de los sistemas de compilación automatizados. Esto podría haber permitido a los atacantes incluir código de manera arbitraria en los ejecutables de los videojuegos.
ESET contactó a las empresas afectadas y proporcionó la información necesaria para remediar el compromiso.
Conclusión
Una vez más, el Grupo Winnti dirige sus ataques a desarrolladores de videojuegos en Asia. Esta vez con una nuevo backdoor modular firmado con un certificado de firma de código probablemente robado durante una campaña anterior y que comparte algunas similitudes con el backdoor PortReuse. Este nuevo implante muestra que el Grupo Winnti todavía está desarrollando activamente nuevas herramientas utilizando para ello múltiples proyectos de código abierto; lo que demuestra que no confían únicamente en sus backdoors insignia, como ShadowPad o el malware Winnti.
Para conocer el análisis técnico de esta campaña pueden visitar el artículo en inglés de esta invesigación.
