Stowaway — это утилита для пентестеров на языке «Golang» от китайских разработчиков. Она позволяет туннелировать трафик и создавать reverse shell.
Злоумышленники используют лишь её прокси-часть с собственными доработками. По сути, они создали форк, который меняет протокол и базовую функциональность с каждой версией.
Мы сравнили известные нам семплы Stowaway с новыми и с оригинальной утилитой. Вот ключевые особенности:
💣 Злоумышленники используют lz4 для сжатия;
💣 Трафик шифруют алгоритмом XXTEA;
💣 Кодовое слово передается в аргумент
-f. Затем от него вычисляется md5 и сравнивается со значением из семпла. Если кодовое слово не совпадает — утилита перестает работать;💣 В новых версиях группировка добавила поддержку «QUIC-go»;
💣 С каждой новой итерацией меняются «Hello Message» и сама структура протокола.
Недавно нам попался новый семпл
01b3cfe581e5243f5b3a38a6ba229d3fe32175c480ac0999e515463c03c92a6e, который для сжатия данных использует библиотеку «Flate». Его загрузка происходила с IP 176.32.35.184.Раньше эта группировка была известна под названием Space Pirates. Мы же называем её Erudite Mogwai. Дело в том, что в семплах мы нашли отсылки на исторические события и литературные произведения — атакующие демонстрируют свою эрудированность.
Подробнее про утилиту и про новый инцидент, связанный с группировкой, читайте в нашей новой статье.