Il gruppo cinese di spionaggio informatico APT41 è stato collegato a campagne di malware apparentemente disparate, secondo una nuova ricerca che ha mappato insieme parti aggiuntive dell'infrastruttura di rete del gruppo per colpire una campagna sponsorizzata dallo stato che sfrutta le esche di phishing a tema COVID per colpire le vittime in India.
"L'immagine che abbiamo scoperto era quella di una campagna sponsorizzata dallo stato che gioca sulle speranze delle persone per una rapida fine della pandemia come un'esca per intrappolare le sue vittime", ha affermato il team di BlackBerry Research and Intelligence in un rapporto."E una volta sul computer di un utente, la minaccia si fonde con la lavorazione del legno digitale utilizzando il proprio profilo personalizzato per nascondere il proprio traffico di rete".
APT41 (noto anche come Barium o Winnti) è un moniker assegnato a un prolifico gruppo cinese di minacce informatiche che svolge attività di spionaggio sponsorizzata dallo stato in concomitanza con operazioni finanziariamente motivate per guadagno personale fin dal 2012. Chiamando il gruppo " Double Dragon " per il suo due obiettivi, Mandiant (ex FireEye) ha sottolineato la propensione del collettivo a colpire i settori della sanità, dell'alta tecnologia e delle telecomunicazioni per stabilire un accesso a lungo termine e facilitare il furto della proprietà intellettuale.
Inoltre, il gruppo è noto per la messa in scena di intrusioni di criminalità informatica finalizzate al furto di codice sorgente e certificati digitali, manipolazione di valuta virtuale e distribuzione di ransomware, nonché per l'esecuzione di compromissioni della catena di fornitura del software iniettando codice dannoso in file legittimi prima della distribuzione del software. aggiornamenti.
L'ultima ricerca di BlackBerry si basa sulle precedenti scoperte di Mandiant nel marzo 2020, che descrivevano in dettaglio una " campagna di intrusione globale " scatenata da APT41 sfruttando una serie di vulnerabilità note pubblicamente che interessano i dispositivi Cisco e Citrix per eliminare ed eseguire payload di fase successiva che sono stati successivamente utilizzato per scaricare un caricatore Cobalt Strike Beacon su sistemi compromessi. Il caricatore si distingueva per l'uso di un profilo di comando e controllo (C2) malleabile che consentiva al Beacon di fondere le sue comunicazioni di rete con un server remoto nel traffico legittimo proveniente dalla rete della vittima.
BlackBerry, che ha trovato un profilo C2 simile caricato su GitHub il 29 marzo da un ricercatore di sicurezza cinese con lo pseudonimo "1135", ha utilizzato le informazioni di configurazione dei metadati per identificare un nuovo cluster di domini relativi ad APT41 che tentano di mascherare il traffico Beacon come legittimo traffico proveniente da siti Microsoft, con sovrapposizioni di indirizzi IP e nomi di dominio riscontrati nelle campagne legate al gruppo Higaisa APT e a quella di Winnti divulgate nell'ultimo anno.
Un'indagine successiva sugli URL ha rivelato fino a tre file PDF dannosi che hanno raggiunto uno dei domini appena scoperti che in precedenza aveva ospitato anche un Cobalt Strike Team Server. I documenti, probabilmente utilizzati insieme alle e-mail di phishing come vettore di infezione iniziale, affermano di essere avvisi COVID-19 emessi dal governo indiano o contengono informazioni sull'ultima legislazione sull'imposta sul reddito rivolta agli indiani non residenti.
Gli allegati di spear-phishing appaiono sotto forma di file .LNK o archivi .ZIP, che, una volta aperti, fanno sì che il documento PDF venga mostrato alla vittima, mentre, in background, la catena di infezione porta all'esecuzione di un Cobalt Segnale di sciopero. Sebbene una serie di intrusioni che utilizzano esche di phishing simili e scoperte nel settembre 2020 siano state appuntate sul gruppo Evilnum , BlackBerry ha affermato che gli indicatori di compromesso indicano una campagna affiliata ad APT41.
"Con le risorse di un gruppo di minacce a livello di stato-nazione, è possibile creare un livello di diversità davvero sbalorditivo nella loro infrastruttura", hanno affermato i ricercatori, aggiungendo che mettendo insieme le attività dannose dell'autore della minaccia tramite la condivisione pubblica delle informazioni, è possibile "scoprire le tracce che i criminali informatici coinvolti hanno lavorato così duramente per nascondere".
Commenti
Posta un commento