Satu kempen yang dikenali sebagai “Stayin' Alive” telah secara aktif menyasarkan organisasi kerajaan dan penyedia perkhidmatan telekomunikasi di seluruh Asia sejak tahun 2021.
Matlamat serangan
Menggunakan pelbagai jenis perisian hasad "pakai buang" untuk mengelak pengesanan, kempen ini tertumpu terutamanya pada entiti di Kazakhstan, Uzbekistan, Pakistan dan Vietnam, dengan Check Point, sebuah firma keselamatan siber, menjejaki aktiviti-aktiviti ini.
Penyelidik Check Point telah mencatat penggunaan pelbagai alatan tersuai oleh aktor ancaman dalam kempen ini. Alat ini direka bentuk untuk mudah dibuang, menjadikannya mencabar untuk mengaitkan serangan antara satu sama lain atau dengan set alat yang diketahui.
Cara operasi
Serangan ini bermula melalui e-mel spear-phishing yang disesuaikan untuk individu tertentu dalam organisasi utama. E-mel tersebut meminta penerima membuka fail ZIP, yang mengandungi fail boleh laku yang ditandatangani secara digital yang sepadan dengan konteks e-mel dan DLL yang berniat jahat. DLL ini memperkenalkan perisian hasad "CurKeep" ke dalam sistem. CurKeep, pintu belakang 10kb, mewujudkan kegigihan, menyampaikan maklumat sistem kepada pelayan arahan dan kawalan (C2), dan menunggu arahan selanjutnya.
Di luar CurKeep, kempen menggunakan alat tambahan seperti CurLu, CurCore dan pemuat CurLog, masing-masing dengan fungsi dan mekanisme jangkitan yang berbeza. CurCore menonjol kerana ia boleh mencipta fail, melaksanakan arahan jauh dan memanipulasi data.
Satu lagi pintu belakang yang berbeza, 'StylerServ,' berfungsi sebagai pendengar pasif yang memantau port khusus untuk fail konfigurasi yang disulitkan. Tujuan tepatnya masih tidak didedahkan tetapi dianggap berfungsi sebagai mekanisme konfigurasi untuk komponen perisian hasad lain.
Kempen menyesuaikan alat ini kepada sasaran wilayah tertentu, menggunakan pelbagai sampel dan varian. Alat yang dikenal pasti ini mungkin hanya mewakili segmen kempen yang lebih meluas yang melibatkan alat dan kaedah serangan yang belum ditemui.
Walaupun kepelbagaian dan penyesuaian alat ini, semuanya didakwa menyambung ke infrastruktur yang sama, yang sebelum ini dikaitkan dengan ToddyCat, sekumpulan pengintip siber China.
Salah satu perisian hasad penting yang ditemui ialah 'Ninja Agent' , yang dilengkapi dengan pengurusan fail dan keupayaan shell terbalik.
ToddyCat juga menggunakan alatan lain seperti LoFiSe, Cobalt Strike, Pemuat Naik DropBox dan pintu belakang UDP pasif dalam serangan ini, yang menunjukkan keluasan dan kerumitan operasi mereka.
Pencegahan adalah faktor penting
RELIANOID menawarkan penyelesaian canggih yang direka untuk mendahului dan mengurangkan ancaman siber yang canggih seperti kempen "Stayin' Alive" yang diperhatikan di seluruh Asia. Memanfaatkan perisikan ancaman lanjutan dan langkah keselamatan adaptif, RELIANOIDPlatform mengesan dan menghalang pelbagai perisian hasad pakai buang yang digunakan dalam serangan ini dengan menganalisis pemeriksaan kandungan dan menghalang fail boleh laku dimuat turun. Dengan menggunakan pemantauan proaktif, analisis tingkah laku dan protokol keselamatan yang boleh disesuaikan, RELIANOID berkesan mengukuhkan rangkaian dan sistem terhadap pencerobohan siber yang semakin berkembang sedemikian. Muat turun pengimbang beban sedia perusahaan dan nikmati Pengalaman Kebolehpercayaan Tapak.
Blog Terkait
