"Operaatio Jacana" paljastaa DinodasRATin mukautetun takaoven

Uusi haittaohjelmauhka nimeltä "DinodasRAT" on paljastettu sen jälkeen, kun sitä käytettiin kohdistetussa kybervakoilukampanjassa Guyanan hallitusta vastaan.

Kampanja, jota ESET kutsuu "Operaatio Jacanaksi" Etelä-Amerikan maasta kotoisin olevien vesilintujen mukaan, voitaisiin yhdistää (nimeämätön) Kiinan valtion tukemat kyberhyökkääjät, tutkijat totesivat.

Kampanja alkoi kohdistetuilla keihään kalasteluviesteillä, joissa viitattiin viimeaikaisiin Guyanan julkisiin ja poliittisiin asioihin. Sisään päästyään hyökkääjät siirtyivät sivusuunnassa läpi sisäisen verkon; DinodasRATia käytettiin sitten tiedostojen suodattamiseen, Windowsin rekisteriavainten manipulointiin ja komentojen suorittamiseen. ESETin torstai-analyysi Jacanan toiminnasta.

Haittaohjelma sai nimensä sen perusteella, että sen hyökkääjille lähettämien uhritunnisteiden alussa käytettiin "Din" ja että merkkijono on samankaltainen kuin deminutiivihobitin Dinodas Brandybuckin nimi. Lord of the Rings. Ehkä liittyy asiaan: DinodasRAT käyttää Tiny-salausalgoritmia lukitakseen viestintä- ja suodatustoimintansa uteliailta katseilta.

Kiinalaisen APT:n työ?

ESET laskee kampanjan ja mukautetun RAT:n kiinalaiseen kehittyneeseen pysyvään uhkaan (APT) keskitasolla varmuudella, erityisesti sen perusteella, miten hyökkäys käyttää Korplug RAT (alias PlugX) - suosikkityökalu Kiinaan sitoutuneet kyberuhkaryhmät, kuten Mustang Panda.

Hyökkäys saattaa olla ESETin mukaan kosto Guyanan ja Kiinan diplomaattisuhteiden viimeaikaisille häiriöille, kuten Guyanan kolmen henkilön pidätyksestä kiinalaisten yritysten rahanpesututkimuksessa. Kiinan paikallinen suurlähetystö kiisti nämä väitteet.

Mielenkiintoista on, että eräs viehe mainitsi "guyanalaisen pakolaisen Vietnamissa" ja palveli haittaohjelmia laillisesta verkkotunnuksesta, joka päättyy gov.vn.

"Tämä verkkotunnus tarkoittaa Vietnamin hallituksen verkkosivustoa; Näin ollen uskomme, että operaattorit pystyivät vaarantamaan Vietnamin valtion yksikön ja käyttämään sen infrastruktuuria haittaohjelmanäytteiden isännöimiseen", sanoi ESET-tutkija Fernando Tavella raportissa - vihjaten jälleen, että toiminta on kehittyneemmän toimijan työtä.