🌑 ShadowPad снова в поле зрения: модульный бэкдор в IOC CRATU
🛰 Подразделение CRATU зафиксировало новые индикаторы, связанные с использованием бэкдора ShadowPad.
Что такое ShadowPad?
Модульный бэкдор, впервые публично выявленный в 2017 году внутри скомпрометированных пакетов программного обеспечения NetSarang.
Изначально ShadowPad считался инструментом ограниченного круга операторов, связанных с APT41/Winnti, однако позднее его использование наблюдалось у разных китайских кластеров кибершпионской активности.
Связанная экосистема группировок также фигурировала в исследованиях supply-chain-атак на CCleaner и ASUS LiveUpdate. Однако сами эти операции не следует автоматически считать отдельными кампаниями ShadowPad.
В 2026 году Trend Micro описала кампанию SHADOW-EARTH-053, направленную на государственные организации, оборонный сектор и критическую инфраструктуру в странах Азии и других регионах.
В рамках этой конкретной кампании наблюдались эксплуатация неустранённых уязвимостей Microsoft Exchange и IIS, веб-шеллы, DLL Side-Loading и последующая установка ShadowPad.
ShadowPad позволяет загружать дополнительные модули, выполнять команды, собирать данные и поддерживать длительный скрытый доступ.
Основные техники, встречающиеся в известных кампаниях:
🎯 T1190 — Exploit Public-Facing Application
📄 T1574.001 — DLL Side-Loading
🧩 T1055 — Process Injection
🌐 T1071 — Application Layer Protocol
🛡 T1027 — Obfuscated Files or Information
Характер текущей активности
CRATU зарегистрировал:
🌍 2 IP-адреса
🧬 5 SHA256-индикаторов
🛡 Рекомендации по детектированию
Корреляционное правило может объединять:
🔸 Эксплуатацию публичного веб-сервиса или появление веб-шелла.
🔸 Запуск легитимного подписанного процесса с загрузкой неизвестной DLL из временного, пользовательского или нетипичного каталога.
🔸 Совпадение по SHA256 из IOC-блока.
🔸 Исходящее соединение с одним из указанных IP после загрузки подозрительной DLL.
🔸 Создание persistence через реестр, scheduled task или службу.
🛰 Подразделение CRATU зафиксировало новые индикаторы, связанные с использованием бэкдора ShadowPad.
Что такое ShadowPad?
Модульный бэкдор, впервые публично выявленный в 2017 году внутри скомпрометированных пакетов программного обеспечения NetSarang.
Изначально ShadowPad считался инструментом ограниченного круга операторов, связанных с APT41/Winnti, однако позднее его использование наблюдалось у разных китайских кластеров кибершпионской активности.
Связанная экосистема группировок также фигурировала в исследованиях supply-chain-атак на CCleaner и ASUS LiveUpdate. Однако сами эти операции не следует автоматически считать отдельными кампаниями ShadowPad.
В 2026 году Trend Micro описала кампанию SHADOW-EARTH-053, направленную на государственные организации, оборонный сектор и критическую инфраструктуру в странах Азии и других регионах.
В рамках этой конкретной кампании наблюдались эксплуатация неустранённых уязвимостей Microsoft Exchange и IIS, веб-шеллы, DLL Side-Loading и последующая установка ShadowPad.
ShadowPad позволяет загружать дополнительные модули, выполнять команды, собирать данные и поддерживать длительный скрытый доступ.
Основные техники, встречающиеся в известных кампаниях:
🎯 T1190 — Exploit Public-Facing Application
📄 T1574.001 — DLL Side-Loading
🧩 T1055 — Process Injection
🌐 T1071 — Application Layer Protocol
🛡 T1027 — Obfuscated Files or Information
Характер текущей активности
CRATU зарегистрировал:
🌍 2 IP-адреса
🧬 5 SHA256-индикаторов
🛡 Рекомендации по детектированию
Корреляционное правило может объединять:
🔸 Эксплуатацию публичного веб-сервиса или появление веб-шелла.
🔸 Запуск легитимного подписанного процесса с загрузкой неизвестной DLL из временного, пользовательского или нетипичного каталога.
🔸 Совпадение по SHA256 из IOC-блока.
🔸 Исходящее соединение с одним из указанных IP после загрузки подозрительной DLL.
🔸 Создание persistence через реестр, scheduled task или службу.