BITSLOTH Backdoor Malware Removal Guide

BITSLOTH, en nyopdaget Windows-bagdør, bruger Background Intelligent Transfer Service (BITS) for sine kommando-og-kontrol-operationer.

Hvad er BITSLOTH?

Dette tidligere udokumenteret malware blev opdaget af Elastic Security Labs i juni 25, 2024, under en undersøgelse af et cyberangreb på et uspecificeret udenrigsministerium i en sydamerikansk regering. Den ondsindede aktivitet spores under betegnelsen REF8747. Selvom identiteten af malwarens skabere forbliver uklar, dens udvikling strækker sig over flere år, som det fremgår af de forskellige versioner, der spores på VirusTotal.

Den seneste version af BITSLOTH inkluderer 35 handlerfunktioner med avancerede funktioner såsom tastaturlogning og skærmoptagelse. Også, det tilbyder en række funktioner til systemopdagelse, opremsning, og kommandolinjeudførelse. Disse funktioner tyder på, at BITSLOTH primært er designet til omfattende dataindsamling fra kompromitterede systemer.

Avancerede funktioner i BITSLOTH

BITSLOTH, en sofistikeret malware-stamme, praler 35 handlerfunktioner, herunder keylogging og skærmoptagelsesfunktioner. Den har også en række værktøjer til opdagelse, opremsning, og kommandolinjeudførelse.

Forskerne Seth Goodwin og Daniel Stepanic afslørede, at malwaren har været under udvikling siden december 2021 og ser ud til primært at blive brugt til dataindsamling. De præcise gerningsmænd er stadig ukendte, men analyse af kildekoden tyder på, at forfatterne kan være kinesisktalende. Denne teori understøttes af tilstedeværelsen af logfunktioner og specifikke strenge i koden.

Potentielle links til kinesiske cybertrusselsaktører

Malwaren anvender et open source-værktøj kendt som RingQ til at kryptere dens nyttelast, som derefter dekrypteres og udføres i hukommelsen for at undgå registrering af sikkerhedssoftware. Denne metode er vejledende for sofistikerede trusselsaktører.

I juni 2024, AhnLab Security Intelligence Center (ASEC) rapporterede, at sårbare webservere blev udnyttet til at implementere web-shells, som derefter blev brugt til at levere yderligere ondsindede nyttelaster, herunder en cryptocurrency-miner via RingQ. Disse angreb blev tilskrevet Kinesisktalende trusselsaktører.

Endvidere, BITSLOTHs brug af STOWAWAY til proxykrypteret C2-trafik over HTTP og portvideresendelsesværktøjet iox forbinder det med tidligere operationer af den kinesiske cyberspionagegruppe Bronze Starlight, også kendt som Emperor Dragonfly, kendt for at bruge disse værktøjer i Cheerscrypt ransomware-angreb.

Tekniske detaljer og mekanismer

BITSLOTH leveres i form af en DLL-fil (“flengine.dll”) og indlæses ved hjælp af DLL-sideindlæsningsteknikker med en lovlig eksekverbar fil tilknyttet FL Studio (“fl.exe”). Den seneste version af malwaren indeholder en ny planlægningskomponent, giver den mulighed for at kontrollere specifikke driftstider i et offers miljø. Denne planlægningsfunktion er blevet observeret i andre moderne malware-familier såsom EAGERBEE.

Som en omfattende bagdør, BITSLOTH kan udføre kommandoer, uploade og downloade filer, udføre systemoptælling og -opdagelse, og høste følsomme data igennem keylogging og skærmoptagelse.

Den har også mulighed for at indstille sin kommunikationstilstand til enten HTTP eller HTTPS, ændre eller fjerne persistensmekanismer, afslutte vilkårlige processer, logge brugere af, genstart eller luk systemet ned, og endda opdatere eller slette sig selv fra værtssystemet.

BITS som en kommando-og-kontrol-mekanisme

Et definerende træk ved BITSLOTH er dets brug af BITS til C2 kommunikation. Denne teknik er især fordelagtig for angribere, da adskillige organisationer står over for vanskeligheder med at spore BITS-netværksaktivitet og opdage unormale BITS-opgaver. Dette gør det til et snigende og effektivt værktøj til vedvarende adgang og dataeksfiltrering.

Fjernelse af BITSLOTH bagdør

For effektivt at fjerne BITSLOTH-bagdøren, det er vigtigt at følge en omfattende tilgang. Start med at køre en grundig scanning med et velrenommeret antivirus- eller anti-malware-program, der kan opdage og eliminere denne sofistikerede trussel.

Også, inspicer og rengør dit system manuelt ved at kontrollere for og fjerne evt mistænkelige DLL-filer, såsom “flengine.dll,” og verificere legitimiteten af eksekverbare filer som “fl.exe” tilknyttet FL Studio. Sørg for, at Background Intelligent Transfer Service (BITS) er korrekt konfigureret og udnyttes ikke af malware. Gennemgå og rediger eventuelle planlagte opgaver eller opstartsposter, der kan være knyttet til BITSLOTH.

Endelig, overvej at gendanne dit system til en tidligere tilstand eller udføre en komplet systemgeninstallation, hvis bagdøren fortsætter på trods af disse anstrengelser. Regelmæssig opdatering af din sikkerhedssoftware og opretholdelse af stærk overvågningspraksis kan også hjælpe med at forhindre fremtidige infektioner.