«DoubleFeature podría usarse como una especie de Rosetta Stone para comprender mejor los módulos DanderSpritz y los sistemas comprometidos por ellos», agregó la firma israelí de ciberseguridad. «Es la quimera de un equipo de respuesta a incidentes».

Diseñado para mantener un registro de los tipos de herramientas que podrían implementarse en una máquina de destino, DoubleFeature es un panel de control basado en Python que también funciona como una utilidad de informes para exfiltrar la información de registro de la máquina infectada a un servidor controlado por el atacante. La salida se interpreta mediante un ejecutable especializado llamado «DoubleFeatureReader.exe».

leak root

----(...)

----windows

--------bin 

--------exploits

--------fuzzbunch

--------implants

--------payloads

--------resources 

--------specials

--------touches

----(...)

Algunos de los complementos monitoreados por DoubleFeature incluyen herramientas de acceso remoto llamadas UnitedRake (también conocido como EquationDrug ) y PeddleCheap, una puerta trasera sigilosa de exfiltración de datos llamada StraitBizarre, una plataforma de espionaje llamada KillSuit (también conocido como GrayFish), un conjunto de herramientas de persistencia llamado DiveBar, un controlador de acceso a la red encubierto llamado FlewAvenue y un implante validador llamado MistyVeal que verifica si el sistema comprometido es de hecho una auténtica máquina víctima y no un entorno de investigación.

«A veces, el mundo de las herramientas APT de alto nivel y el mundo del malware común pueden parecer dos universos paralelos», dijeron los investigadores. «Los actores del estado-nación tienden a [mantener] gigantescas bases de código clandestinas, con una amplia gama de características que se han cultivado durante décadas debido a una necesidad práctica. Resulta que nosotros también seguimos masticando lentamente la filtración de 4 años que nos reveló DanderSpritz y obtuvo nuevos conocimientos «.

Fuentes:

https://research.checkpoint.com/2021/a-deep-dive-into-doublefeature-equation-groups-post-exploitation-dashboard/
https://thehackernews.com/2021/12/experts-detail-logging-tool-of.html