与俄罗斯有关的Kapeka后门恶意软件针对东欧网络

导读

芬兰安全研究人员详细介绍了鲜为人知的俄罗斯Kapeka后门恶意软件的新情况，该恶意软件至少自 2022 年中期以来一直用于攻击东欧目标。

据芬兰网络安全公司 WithSecure 称（https://labs.withsecure.com/publications/kapeka），这款名为 Kapeka 的恶意软件可能与俄罗斯军事情报部门 (GRU) 运营的黑客组织 Sandworm 有关。

该公司在与 Recorded Future News 分享的一份报告（https://labs.withsecure.com/content/dam/labs/docs/WithSecure-Research-Kapeka.pdf）中表示，后门可能是 Sandworm 武器库的更新，用于间谍活动和破坏活动。像 Kapeka 这样的代码是为了让黑客能够访问网络来部署其他恶意软件。

研究人员还发现 Kapeka 和 Sandworm 的其他恶意工具之间存在重叠。

Kapeka 很可能被用于导致 2022 年底部署 Prestige 勒索软件的入侵。根据之前的报告（https://therecord.media/new-prestige-ransomware-campaign-targets-ukraine-and-poland），与 Sandworm 相关的黑客在针对乌克兰和波兰的运输和物流部门的一系列攻击中部署了 Prestige勒索软件（https://therecord.media/microsoft-attributes-prestige-ransomware-attacks-on-ukraine-and-poland-to-russian-group）。

研究人员表示，Kapeka 有可能是 Sandworm 的 GreyEnergy 恶意软件的后继者，后者本身很可能是著名的BlackEnergy病毒的替代品，该病毒曾在 2015 年向乌克兰电网插入恶意代码。

WithSecure 表示，它在 2023 年年中在分析 2022 年底发生的针对爱沙尼亚物流公司的攻击时发现了 Kapeka 的踪迹。

另外两个后门样本分别于 2022 年中期和 2023 年中期从乌克兰提交给 VirusTotal 存储库。WithSecure 研究人员表示，他们“有一定的信心”认为提交者是恶意软件感染的受害者。

今年2月初，微软发现了一个与Kapeka特征相似的后门（https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Backdoor:Win64/KnuckleTouch.A!dha），并将其命名为KnuckleTouch。微软的报告认为，该恶意软件至少从 2022 年初到中期就已被 Sandworm 使用。WithSecure 向 Recorded Future News 证实 KnuckleTouch 和 Kapeka 是同一个后门。