🐍 Shedding Zmiy: свежие индикаторы Bulldog Backdoor
🛰 Подразделение CRATU зафиксировало новые SHA256-индикаторы бэкдора Bulldog Backdoor, связываемого с деятельностью группировки Shedding Zmiy.
Кто такие Shedding Zmiy?
Группировка, которую Solar 4RAYS связывает с ExCobalt/Cobalt и относит к числу активных угроз для российских организаций.
Известные операции были направлены на государственные организации, их подрядчиков и ИТ-компании. В исследованных инцидентах основной целью становились продолжительное присутствие, сбор данных и развитие доступа внутри инфраструктуры.
В арсенале группировки присутствуют кастомные инструменты на Golang и Nim, в том числе кроссплатформенный бэкдор Bulldog Backdoor, также отслеживаемый как GoRed.
Исследованные версии Bulldog могут:
🔸 устанавливаться в Linux под видом crond и закрепляться через systemd;
🔸 использовать WebSocket, DNS-туннелирование, QUIC и ICMP;
🔸 выполнять команды файловой системы;
🔸 создавать SOCKS-прокси и reverse shell;
🔸 проводить сетевую разведку;
обновлять свою конфигурацию и исполняемый файл.
С инструментарием и прошлыми операциями Shedding Zmiy связываются техники:
🎯 T1566 — фишинг
📄 T1574.001 — DLL Side-Loading
🧩 T1055 — Process Injection
🛡 T1562.001 — Impair Defenses
🌐 T1071 / T1095 — сетевое взаимодействие и туннелирование
Характер текущей активности
CRATU зарегистрировал 6 SHA256-индикаторов, отнесённых к Bulldog Backdoor.
При этом файл не содержит доменов, IP-адресов и описания поведения именно этих образцов. Поэтому функциональность известных версий Bulldog используется здесь как ориентир для hunting, а не как подтверждённое описание каждого нового файла.
🛡 Рекомендации по детектированию
Рекомендуется корреляция следующих признаков:
🔸 Появление новых исполняемых файлов в /usr/bin, /usr/sbin или других системных каталогах Linux.
🔸 Маскировка под cron, crond, sshd, системные службы или административные утилиты.
🔸 Создание подозрительных systemd-юнитов.
🔸 Совпадение по SHA256 из IOC-блока.
🔸 Исходящие соединения по WebSocket либо аномальный DNS, QUIC или ICMP-трафик после запуска неизвестного бинарного файла.
Для Windows-систем — признаки DLL Side-Loading, загрузки кода в память и обхода средств защиты.
🛰 Подразделение CRATU зафиксировало новые SHA256-индикаторы бэкдора Bulldog Backdoor, связываемого с деятельностью группировки Shedding Zmiy.
Кто такие Shedding Zmiy?
Группировка, которую Solar 4RAYS связывает с ExCobalt/Cobalt и относит к числу активных угроз для российских организаций.
Известные операции были направлены на государственные организации, их подрядчиков и ИТ-компании. В исследованных инцидентах основной целью становились продолжительное присутствие, сбор данных и развитие доступа внутри инфраструктуры.
В арсенале группировки присутствуют кастомные инструменты на Golang и Nim, в том числе кроссплатформенный бэкдор Bulldog Backdoor, также отслеживаемый как GoRed.
Исследованные версии Bulldog могут:
🔸 устанавливаться в Linux под видом crond и закрепляться через systemd;
🔸 использовать WebSocket, DNS-туннелирование, QUIC и ICMP;
🔸 выполнять команды файловой системы;
🔸 создавать SOCKS-прокси и reverse shell;
🔸 проводить сетевую разведку;
обновлять свою конфигурацию и исполняемый файл.
С инструментарием и прошлыми операциями Shedding Zmiy связываются техники:
🎯 T1566 — фишинг
📄 T1574.001 — DLL Side-Loading
🧩 T1055 — Process Injection
🛡 T1562.001 — Impair Defenses
🌐 T1071 / T1095 — сетевое взаимодействие и туннелирование
Характер текущей активности
CRATU зарегистрировал 6 SHA256-индикаторов, отнесённых к Bulldog Backdoor.
При этом файл не содержит доменов, IP-адресов и описания поведения именно этих образцов. Поэтому функциональность известных версий Bulldog используется здесь как ориентир для hunting, а не как подтверждённое описание каждого нового файла.
🛡 Рекомендации по детектированию
Рекомендуется корреляция следующих признаков:
🔸 Появление новых исполняемых файлов в /usr/bin, /usr/sbin или других системных каталогах Linux.
🔸 Маскировка под cron, crond, sshd, системные службы или административные утилиты.
🔸 Создание подозрительных systemd-юнитов.
🔸 Совпадение по SHA256 из IOC-блока.
🔸 Исходящие соединения по WebSocket либо аномальный DNS, QUIC или ICMP-трафик после запуска неизвестного бинарного файла.
Для Windows-систем — признаки DLL Side-Loading, загрузки кода в память и обхода средств защиты.