Kampaania nimega „Stayin' Alive“ on alates 2021. aastast aktiivselt suunatud valitsusorganisatsioonidele ja telekommunikatsiooniteenuste pakkujatele kogu Aasias.
Rünnaku eesmärk
Kasutades avastamise vältimiseks mitmekesist valikut „ühekordselt kasutatavat” pahavara , keskendub kampaania peamiselt Kasahstani, Usbekistani, Pakistani ja Vietnami üksustele, kusjuures küberturvalisuse ettevõte Check Point jälgib neid tegevusi.
Check Pointi teadlased on märganud, et ohus osalejad kasutavad selles kampaanias erinevaid kohandatud tööriistu. Need tööriistad on loodud nii, et neid oleks lihtne ära visata, mistõttu on rünnakute seostamine üksteise või tuntud tööriistakomplektidega keeruline.
Töörežiim
Rünnak algab õngitsuskirjade kaudu, mis on suunatud võtmeorganisatsioonide teatud isikutele. Kirjad paluvad saajatel avada ZIP-faili, mis sisaldab digitaalselt allkirjastatud käivitatavat faili, mis vastab kirja kontekstile, ja pahatahtlikku DLL-faili. See DLL sisestab süsteemi pahavara „CurKeep” . CurKeep, 10 kb pikkune tagauks, loob püsivuse, edastab süsteemiteabe juhtimis- ja juhtimisserverile (C2) ja ootab edasisi juhiseid.
Lisaks CurKeepile juurutab kampaania täiendavaid tööriistu, nagu CurLu, CurCore ja CurLog laadijad, millest igaühel on erinevad funktsioonid ja nakkusmehhanismid. CurCore paistab silma, kuna see suudab luua faile, täita kaugkäsklusi ja töödelda andmeid.
Teine selge tagauks, 'StylerServ', toimib passiivse kuulajana, mis jälgib konkreetseid porte krüptitud konfiguratsioonifailide jaoks. Selle täpset eesmärki ei avaldata, kuid eeldatakse, et see toimib teiste pahavara komponentide konfiguratsioonimehhanismina.
Kampaania kohandab need tööriistad konkreetsete piirkondlike sihtmärkide jaoks, kasutades erinevaid näidiseid ja variante. Need tuvastatud tööriistad võivad olla vaid osa ulatuslikumast kampaaniast, mis hõlmab avastamata tööriistu ja ründemeetodeid.
Vaatamata nende tööriistade mitmekesisusele ja kohandamisele on need kõik väidetavalt ühendatud sama infrastruktuuriga, mis oli varem seotud Hiina küberspioonide rühma ToddyCatiga.
Üks tähelepanuväärsetest avastatud pahavaradest on failihalduse ja pöördkesta funktsioonidega „Ninja Agent” .
ToddyCat kasutas nendes rünnakutes ka muid tööriistu, nagu LoFiSe, Cobalt Strike, DropBox Uploader ja passiivne UDP tagauks, mis näitab nende toimingute ulatust ja keerukust.
Ennetamine on otsustava tähtsusega tegur
RELIANOID pakub tipptasemel lahendusi ennetada ja leevendada keerukaid küberohte nagu kogu Aasias vaadeldud kampaania "Stayin' Alive". Täiustatud ohuluure ja kohanduvate turvameetmete võimendamine, RELIANOIDplatvorm tuvastab ja takistab nendes rünnakutes kasutatavat mitmesugust ühekordselt kasutatavat pahavara, analüüsides sisu kontrolli ja takistades käivitatavate failide allalaadimist. Kasutades ennetavat jälgimist, käitumisanalüüsi ja kohandatavaid turvaprotokolle, RELIANOID tugevdab tõhusalt võrke ja süsteeme selliste arenevate kübersissetungide vastu. Laadige alla ettevõtte valmis koormuse tasakaalustaja ja nautige saidi töökindluse kogemust.
Seotud blogid
