APT Cina yang baru diidentifikasi menyembunyikan pintu belakang dalam pembaruan perangkat lunak

Diterbitkan Ulang Oleh Plato

Followers: 0

Sejak tahun 2018, aktor ancaman Tiongkok yang sebelumnya tidak dikenal telah menggunakan pintu belakang baru dalam serangan spionase dunia maya musuh di tengah (AitM) terhadap sasaran Tiongkok dan Jepang.

Korban tertentu dari grup yang ESET beri nama “Blackwood” termasuk perusahaan manufaktur dan perdagangan besar Tiongkok, kantor perusahaan teknik dan manufaktur Jepang di Tiongkok, individu di Tiongkok dan Jepang, dan orang berbahasa Mandarin yang terhubung dengan universitas riset terkenal di Inggris.

Bahwa Blackwood baru terungkap sekarang, lebih dari setengah dekade sejak aktivitasnya yang paling awal diketahui, terutama dapat dikaitkan dengan dua hal: kemampuannya untuk dengan mudah menyembunyikan malware dalam pembaruan produk perangkat lunak populer seperti WPS Office, dan malware itu sendiri, alat spionase yang sangat canggih yang disebut “NSPX30.”

Blackwood dan NSPX30

Sementara itu, kecanggihan NSPX30 dapat dikaitkan dengan penelitian dan pengembangan selama hampir dua dekade.

Menurut analis ESET, NSPX30 mengikuti garis panjang backdoor yang berasal dari apa yang mereka beri nama anumerta “Project Wood,” yang tampaknya pertama kali disusun pada 9 Januari 2005.

Dari Project Wood – yang, dalam beberapa kesempatan, digunakan untuk menargetkan politisi Hong Kong, dan kemudian menargetkan di Taiwan, Hong Kong, dan Tiongkok tenggara – muncul varian lebih lanjut, termasuk DCM tahun 2008 (alias “Dark Spectre”), yang bertahan di kampanye jahat hingga 2018.

NSPX30, yang dikembangkan pada tahun yang sama, adalah puncak dari semua spionase dunia maya yang ada sebelumnya.

Alat multifungsi dan bertingkat ini terdiri dari dropper, penginstal DLL, loader, orkestrator, dan pintu belakang, dengan dua pintu belakang dilengkapi dengan rangkaian plug-in tambahan yang dapat ditukar.

Nama permainannya adalah pencurian informasi, baik itu data tentang sistem atau jaringan, file dan direktori, kredensial, penekanan tombol, tangkapan layar, audio, obrolan, dan daftar kontak dari aplikasi perpesanan populer — WeChat, Telegram, Skype, Tencent QQ, dll. — dan banyak lagi.

Di antara kemampuan lainnya, NSPX30 dapat membuat shell terbalik, menambahkan dirinya ke daftar yang diizinkan dalam alat antivirus Tiongkok, dan mencegat lalu lintas jaringan. Kemampuan terakhir ini memungkinkan Blackwood untuk secara efektif menyembunyikan infrastruktur komando dan kontrolnya, yang mungkin berkontribusi terhadap tidak terdeteksinya sistem ini dalam jangka panjang.

Pintu Belakang Tersembunyi dalam Pembaruan Perangkat Lunak

Namun, trik terhebat Blackwood juga sekaligus menjadi misteri terbesarnya.

Untuk menginfeksi mesin dengan NSPX30, ia tidak menggunakan trik umum apa pun: phishing, halaman web yang terinfeksi, dll. Sebaliknya, ketika program tertentu yang sah mencoba mengunduh pembaruan dari server perusahaan yang sama sahnya melalui HTTP yang tidak terenkripsi, Blackwood entah bagaimana juga menyuntikkan pintu belakangnya. ke dalam campuran.

Dengan kata lain, ini bukan pelanggaran rantai pasokan vendor seperti SolarWinds. Sebaliknya, ESET berspekulasi bahwa Blackwood mungkin menggunakan implan jaringan. Implan semacam itu mungkin disimpan di perangkat edge yang rentan di jaringan yang ditargetkan umum di antara APT Cina lainnya.

Produk perangkat lunak yang digunakan untuk menyebarkan NSPX30 termasuk WPS Office (alternatif gratis yang populer untuk rangkaian perangkat lunak perkantoran Microsoft dan Google), layanan pesan instan QQ (dikembangkan oleh raksasa multimedia Tencent), dan editor metode masukan Sogou Pinyin (pasar Tiongkok- alat pinyin terkemuka dengan ratusan juta pengguna).

Lalu bagaimana organisasi dapat bertahan melawan ancaman ini? Pastikan alat perlindungan titik akhir Anda memblokir NSPX30, dan perhatikan deteksi malware yang terkait dengan sistem perangkat lunak yang sah, saran Mathieu Tartare, peneliti malware senior di ESET. “Selain itu, pantau dan blokir serangan AitM dengan benar seperti keracunan ARP — switch modern memiliki fitur yang dirancang untuk memitigasi serangan tersebut,” katanya. Menonaktifkan IPv6 dapat membantu menggagalkan serangan SLAAC IPv6, tambahnya.

“Jaringan yang tersegmentasi dengan baik juga akan membantu, karena AitM hanya akan memengaruhi subnet tempat AitM dijalankan,” kata Tartare.