中國駭客製作 Linux 版 SideWalk Windows 惡意軟體

SideWalk Linux 後門惡意軟體最初被資安廠商 ESET 旗下的資安研究人員所發現在 ESET 報告中指出，新發現的 SideWalk 後門 Linux 版本，原先於 2020 年由中國資安廠商奇虎 360旗下的資安研究單位 360 Netlab 發現該惡意軟體的早期變體，在一篇關於 Spectre 殭屍網路攻擊 IP攝影機的部落格文章中進行了詳細說明。

該惡意後門軟體被 APT41/SparklingGoblin 駭客組織於 2020 年 5 月，用來攻擊香港某一所大學。

ESET 注意到，這次發現的 SideWalk Linux 版本與 Windows 版本的 SideWalk，在運行方式、程式碼與架構存在”驚人的”相似之處。包括兩個版本都使用 ChaCha20 加密演算法，且同時使用初始值為 0x0B的計數器，而這是 SideWalk 獨有的一個特徵。

在 Windows 和 Linux 上，惡意軟體使用相同的五個執行序同時執行特定項目：

1.[StageClient::ThreadNetworkReverse] – 為與指令和控制 (C2) 伺服器的備用連接獲取代理配置
2.[StageClient::ThreadHeartDetect] – 在指定時間內未收到指令時關閉與 C2 伺服器的連接
3.[StageClient::ThreadPollingDriven] – 如果沒有要傳遞的訊息，則向 C2 伺服器發送heartbeat
commands
4.[StageClient::ThreadBizMsgSend] – 檢查所有其他執行序的訊息陣列中發送的數據並處理它
5.[StageClient::ThreadBizMsgHandler] – 檢查來自 C2 伺服器的待處理消息

另外 ESET 也發現 Linux 版本和 Windows 的版本的 SideWalk
後門軟體，與同一個威脅參與者聯繫起來的另一個證據是使用相同的密鑰，對送往控制伺服器的所竊取資料進行加密傳送。這也間接證實兩者間的密切關係。

ESET 指出，SparklingGoblin 近期使用 SideWalk Linux 版攻擊的對象，為當時在 2020年入侵的同一所大學；該團體成功入侵該校多台伺服器，包括印表機伺服器、Email 伺服器，以及用來管理學生行事曆與選修課程的伺服器。