Kazuar is een geavanceerde malwarefamilie die wordt toegeschreven aan de Russische staatsgroep Secret Blizzard. Deze malware is jarenlang continu ontwikkeld en evolueert nog steeds om spionagegerichte operaties te ondersteunen. Waar Kazuar aanvankelijk een relatief traditionele backdoor was, is het inmiddels uitgegroeid tot een modulair peer-to-peer (P2P) botnet-ecosysteem dat ontworpen is voor persistent en onopvallend toegang houden tot doelomgevingen.

Deze ontwikkeling sluit aan bij het bredere doel van Secret Blizzard om langdurige toegang tot systemen te verkrijgen voor het verzamelen van inlichtingen. De dreigingsactor richt zich vooral op organisaties binnen de overheid en diplomatie in Europa en Centraal-Azië, evenals op systemen in Oekraïne die eerder waren gecompromitteerd door Aqua Blizzard. Dit gebeurt vermoedelijk om informatie te verkrijgen die de buitenlandse en militaire doelstellingen van Rusland ondersteunt. In tegenstelling tot veel andere dreigingsactoren die vooral native tools gebruiken om detectie te vermijden, bouwt Kazuar met zijn modulaire opzet veerkracht en stealth direct in de malware. Door functies te verdelen over drie modules – Kernel, Bridge en Worker – en communicatie te beperken tot één gekozen leider, reduceert Kazuar zijn zichtbare aanwezigheid aanzienlijk.

Deze architectuur maakt het mogelijk om flexibel taken uit te voeren, data voor te bereiden en meerdere back-upkanalen voor command & control (C2) te onderhouden. Het begrijpen van deze structuur helpt verdedigers om verder te kijken dan analyse van individuele samples en zich te richten op gedragingen die het botnet operationeel houden, zoals leiderselectie, inter-process communicatie, staging van werkmappen en periodieke datalekken. De capaciteiten en werkwijze van Kazuar zijn uitgebreid gedocumenteerd door de security community, waarbij eerdere rapporten, zoals Unit 42’s analyse en een diepgaande studie van de loader, nog steeds actueel zijn.

Kazuar wordt via verschillende dropper-varianten verspreid. Zo bevat de Pelmeni dropper de versleutelde tweede fase payload als een byte-array die vaak aan het doelwit wordt gebonden, bijvoorbeeld door versleuteling met de hostnaam, zodat de payload alleen op het bedoelde systeem wordt uitgevoerd. Een andere methode gebruikt een kleine .NET-loader die samen met de payload wordt ingezet. De dropper start deze loader, vaak als COM-object geconfigureerd, en levert de ontsleutelde payload aan om de Kazuar-modules in het geheugen te laden en uit te voeren.

De drie module-types – Kernel, Bridge en Worker – hebben elk een duidelijk afgebakende rol binnen het botnet. De Kernel fungeert als centrale coördinator, de Bridge verzorgt de communicatie en routing van opdrachten, terwijl de Worker de daadwerkelijke taken uitvoert. Elk geïnfecteerd systeem bevat alle drie modules om het volledige P2P-netwerk te vormen. Deze modulaire opbouw zorgt voor een flexibele configuratie, een lagere detecteerbaarheid en brede inzetmogelijkheden, terwijl de kans op ontdekking wordt geminimaliseerd.