Новый бэкдор BugSleep распространяют через фишинг

За организацией фишинговых атак с использованием BugSleep стоит группа MuddyWater, которая связана с Министерством разведки и безопасности Ирана.

Основная логика BugSleep: начинается со многих вызовов к Sleep API, чтобы избежать обнаружения песочницами, а затем загружает API, которые ему нужно запустить должным образом. Затем он создает мьютекс и расшифровывает его конфигурацию которая включает в себя C&C IP-адрес и порт. Все конфигурации и строки шифруются одинаково, где каждый байт вычитается с одним и тем же жестко закодированным значением.

В одной из версий вредоносных программ разработчики реализовали пару методов уклонения от EDR-систем.

Подробнее: https://extrim-security.ru/news-ib/tpost/5hp8b592v1-novii-bekdor-bugsleep-rasprostranyayut-c