Осенью 2024 мы описали пересечения Obstinate Mogwai с другой азиатской группировкой — IAmTheKing, которая активна как минимум с 2014 года.
Последний публичный отчет об IAmTheKing выпустили эксперты «Лаборатории Касперского» в 2020 году.
А на конференции Kaspersky Security Analyst Summit 2024 подразделение PT ESC представило доклад «The Lord of PowerShell: The Return of IAmTheKing», в котором говорилось о возвращении группировки с новым стилером PowerBroker.
👀 В арсенале IAmTheKing был бэкдор KingOfHearts, который использовался злоумышленниками в атаках до 2019 года. Во время очередной попытки возвращения в инфраструктуру Obstinate Mogwai применили новую версию этого бэкдора, которую мы назвали .NET KingOfHearts.
Наша команда очень подробно проанализировала новую версию легендарного бэкдора.
Ключевые моменты:
😬 Мы обнаружили сборки в ресурсах, даты компиляции которых могут указывать, что бэкдор предположительно мог находиться в разработке с конца 2022, а в инциденте был использован в конце 2023 года.
😬 Эти же сборки помогли найти хеши нескольких других образцов
.NET KingOfHearts с новыми C2.😬
.NET KingOfHearts, в отличие от старых версий, стал модульным.😬 Нашли ряд совпадений, по которым поняли, что перед нами — новая версия бэкдора KingOfHearts.
⚡️ Все подробности — в статье.