CTT Report Hub

#ParsedReport #CompletenessMedium 25-09-2025 RayInitiator & LINE VIPER https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/RayInitiator-LINE-VIPER/ncsc-mar-rayinitiator-line-viper.pdf Report completeness: Medium Actors/Campaigns: Arcanedoor…

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
RayInitiator - это усовершенствованный многоступенчатый буткит, предназначенный для устройств Cisco ASA 5500-X, работающий на уровне GRUB для поддержания закрепления с помощью перезагрузок и обновлений прошивки. Он инициирует атаки, модифицируя GRUB для перехвата процессов загрузки, а затем развертывая LINE VIPER, сложный загрузчик шелл-кода, который взаимодействует через HTTPS и ICMP при выполнении команд, захвате пакетов и обходе процессов VPN AAA. Оба компонента используют шифрование, ориентированное на конкретную жертву, и меры защиты от криминалистики для повышения скрытности и усложнения обнаружения.
-----

RayInitiator - это сложный многоступенчатый буткит, специально разработанный для компрометации устройств Cisco ASA (Adaptive Security Appliance), в частности серии 5500-X. Это считается значительным достижением по сравнению с предыдущими вредоносными ПО, а именно LINE DANCER и LINE RUNNER. Этот буткит работает на уровне GRUB (Grand Unified Bootloader), что позволяет ему выдерживать перезагрузки системы и обновления прошивки при развертывании LINE VIPER, загрузчика шеллкода в пользовательском режиме с несколькими возможностями.

Атака начинается с того, что RayInitiator изменяет GRUB скомпрометированного устройства для перехвата процессов загрузки. Это включает в себя две критические фазы: начальную фазу выполнения, где он перехватывает выполнение загрузки; и последующую фазу развертывания, где он загружает LINE VIPER через запрос WebVPN. LINE VIPER принимает команды и задачи в основном по двум каналам: через HTTPS во время сеансов аутентификации клиента WebVPN и через ICMP, где ответы облегчаются с помощью необработанного TCP, что повышает его скрытность и оперативную безопасность. Примечательно, что выполнение задач шифруется с помощью RSA-ключей, специфичных для конкретной жертвы, что защищает целостность и конфиденциальность данных.

После развертывания LINE VIPER обладает широкими возможностями, включая выполнение команд CLI, захват пакетов таких протоколов, как RADIUS, LDAP и TACACS, и обход процесса аутентификации, авторизации и учета VPN (AAA) на устройстве. Он также может подавлять сообщения системного журнала и собирать команды CLI, введенные пользователями. Другой примечательной функцией LINE VIPER является его способность инициировать принудительную отложенную перезагрузку, если она не прервана, что еще больше усложняет усилия по обнаружению.

Как RayInitiator, так и LINE VIPER используют токены, специфичные для жертвы, и шифрование, обеспечивая высокую степень операционной безопасности во время своих действий. LINE VIPER построен на основе многочисленных разделов шеллкода x64, что повышает его сложность и функциональность по сравнению с его предшественниками. Тактика борьбы с криминалистикой используется для того, чтобы помешать судебно-медицинским расследованиям, модифицируя системный код, чтобы скрыть присутствие вредоносного ПО.

Архитектура управления, используемая LINE VIPER, является сложной, при этом стратегическая маршрутизация коммуникаций позволяет сохранять малозаметность. Примечательно, что ICMP-коммуникации не проходят через глобальные сети, а вместо этого используют установленные сеансы VPN, что еще больше маскирует их активность.

Таким образом, эволюция от LINE DANCER и LINE RUNNER к RayInitiator и LINE VIPER знаменует собой заметный прогресс в таргетинге на устройства Cisco ASA, характеризующийся улучшенными методами работы и более широким спектром функциональных возможностей, адаптированных для скрытности и закрепления от обнаружения.

121 views12:48