- A Microsoft detalha a evolução do backdoor Kazuar, do grupo Turla, para uma botnet modular com comunicação peer‑to‑peer, visando acesso furtivo e persistente.
- O Kazuar, ferramenta .NET usado desde 2017, passou de framework monolítico para arquitetura modular com três tipos de componentes: Kernel, Bridge e Worker.
- O módulo Kernel atua como coordenador central, gerenciando tarefas, comunicação, logs, verificações anti‑análise, C2, coleta de arquivos e exfiltração.
- Múltiplos módulos Kernel se comunicam por Windows Messaging, Mailslot e named pipes; um é eleito líder para coordenar com o Bridge, enquanto os demais operam de forma silenciosa.
- A arquitetura aumenta resiliência, reduz exposição da infraestrutura e permite retomar atividades após reinicializações ou interrupções, mantendo estado da operação.
O Microsoft detalhou uma evolução do backdoor Kazuar, atribuído ao grupo Turla, ligado à Rússia. A nova arquitetura transforma o malware em uma botnet modular com comunicação peer-to-peer, visando manter acesso furtivo e persistente em sistemas comprometidos.
O Kazuar é uma ferramenta .NET utilizada pelo grupo desde 2017. A Microsoft descreve três tipos de componentes: Kernel, Bridge e Worker, formando a base da botnet modular.
O módulo Kernel funciona como coordenador central, gerenciando tarefas, comunicação interna, logs, verificações anti-analítica, configuração de comando e controle, exfiltração de dados e interação com os demais módulos.
Os módulos se comunicam por meio de Windows Messaging, Mailslot e named pipes; um deles é eleito líder para coordenar tarefas com o Bridge, enquanto os demais operam de forma silenciosa. Essa lógica reduz a exposição da infraestrutura e aumenta a resiliência da operação.
A arquitetura permite manter estado mesmo após reinicializações, reorganizar tarefas e retomar atividades. A rede interna entre Kernel facilita a persistência sem depender de servidores externos constantes.
Detalhes da arquitetura
Turla é associada a operações de espionagem contra governos, entidades diplomáticas e setores de defesa, com atuação destacada na Europa e na Ásia Central. A CISA relaciona o grupo ao Centro 16 do FSB russo, conforme avaliações de inteligência.
A Microsoft afirma que a modularidade obriga o adversário a lidar com múltiplos componentes entre si, o que complica detecção e resposta. A empresa aponta maior resistência a interrupções e maior capacidade de adaptação do malware.
Entre na conversa da comunidade