Turla Turns Kazuar Backdoor Into Modular P2P Botnet for Persistent Access

Évolution du backdoor Kazuar : Vers un botnet P2P modulaire

Le groupe de menace persistante avancée (APT) russe Turla (alias Secret Blizzard) a transformé son backdoor Kazuar en un écosystème modulaire sophistiqué basé sur une architecture P2P (pair-à-pair). Cette mise à jour vise à renforcer la persistance, la discrétion et la résilience des opérations de cyberespionnage ciblant les secteurs gouvernementaux et diplomatiques.

Points clés :

• Architecture modulaire : Le malware se divise désormais en trois composants distincts :
  • Kernel : Le cerveau du botnet, gérant les tâches, l’anti-analyse et la coordination entre les modules. Il élit un “leader” pour centraliser les communications sortantes.
  • Bridge : Agit comme un serveur proxy pour relayer les communications entre le module Kernel et les serveurs de commande et contrôle (C2).
  • Worker : Exécute les actions malveillantes : enregistrement de frappes clavier (keylogging), surveillance d’événements Windows, collecte d’informations système et extraction de données MAPI.
• Communication : Le malware utilise des mécanismes variés (Windows Messaging, Mailslot, Named Pipes) pour la communication interne et plusieurs protocoles pour contacter le C2 (HTTP, WebSockets, Exchange Web Services).
• Persistance : L’utilisation de répertoires de travail dédiés et chiffrés sur le disque permet au malware de maintenir son état opérationnel après un redémarrage et de découpler l’exécution des tâches de l’exfiltration.

Vulnérabilités :

• Aucune CVE spécifique n’est mentionnée, car le malware repose sur l’utilisation de droppers personnalisés (Pelmeni, ShadowLoader) pour l’installation initiale, exploitant potentiellement des vecteurs d’entrée classiques (phishing, accès compromis) plutôt qu’une faille logicielle unique.

Recommandations :

• Détection comportementale : Surveiller la création et l’activité inhabituelle de Named Pipes et de Mailslots au sein du réseau, souvent utilisés par Kazuar pour la communication inter-processus.
• Analyse de processus : Identifier l’exécution de binaires .NET non signés ou suspects utilisant des techniques d’injection ou de persistance liées aux outils de Turla.
• Filtrage réseau : Bloquer les connexions sortantes suspectes vers des services légitimes détournés (comme Exchange Web Services) si elles ne correspondent pas au trafic habituel des postes clients.
• Hygiène de sécurité : Appliquer le principe du moindre privilège sur les stations de travail pour limiter la capacité du module “Worker” à collecter des données sensibles ou à intercepter des communications MAPI.

Source