「Earth Estries」からの APT 攻撃がカスタムマルウェアで政府とテクノロジーを襲う

新たに特定された脅威アクターが、世界中の政府やテクノロジー組織から密かに情報を盗んでいます。

進行中のキャンペーンは「Earth Estries」のご厚意により実施されます。 によると、これまで知られていなかったグループは少なくとも2020年から存在していたという。 トレンドマイクロからの新しいレポートとある程度重複します。 別のサイバースパイ組織、FamousSparrow。 ターゲットは同じいくつかの業界から来る傾向がありますが、米国からフィリピン、ドイツ、台湾、マレーシア、南アフリカに至るまで、世界中に広がっています。

Earth Estries は、Cobalt Strike などの他のツールとともに、DLL サイドローディングを使用して XNUMX つのカスタム マルウェア (XNUMX つのバックドアとインフォスティーラー) のいずれかを実行する傾向があります。 「Earth Estries の背後にある脅威アクターは、高度なリソースを活用し、サイバースパイ行為や違法行為における高度なスキルと経験を駆使して活動しています」とトレンドマイクロの研究者は書いています。

Earth Estries のツールセット

Earth Estries は、Zingdoor、TrillClient、HemiGate という XNUMX つの独自のマルウェア ツールを所有しています。

Zingdoor は 2022 年 XNUMX 月に初めて開発された HTTP バックドアで、それ以降は限られたインスタンスのみにデプロイされています。 Golang (Go) で書かれており、 クロスプラットフォーム機能を提供する、UPXで梱包されています。 システムおよび Windows サービス情報を取得できます。 ファイルを列挙、アップロード、またはダウンロードします。 ホスト マシン上で任意のコマンドを実行します。

TrillClient は、インストーラーとインフォスティーラーを組み合わせたもので、これも Go で記述され、Windows キャビネット ファイル (.cab) にパッケージ化されています。 スティーラーはブラウザの資格情報を収集するように設計されており、検出を回避することを目的として、コマンドに応じて、またはランダムな間隔で動作またはスリープする機能が追加されています。 Zingdoor とともに、切り株分析ツールを目的として設計されたカスタム難読化ツールも備えています。

このグループの最も多面的なツールは、バックドア HemiGate です。 このマルチインスタンスのオールインワン マルウェアには、キーロギング、スクリーンショットのキャプチャ、コマンドの実行、ファイル、ディレクトリ、プロセスの監視、追加、削除、編集の機能が含まれています。 

Earth Estries のメソッド

XNUMX 月、研究者らは Earth Estries が管理者特権を持つ侵害されたアカウントを使用して組織の内部サーバーに感染していることを観察しました。 これらのアカウントが侵害された手段は不明です。 Cobalt Strike を仕掛けてシステム内に足場を築き、サーバー メッセージ ブロック (SMB) と WMI コマンド ラインを使用して独自のマルウェアを侵入させました。

Earth Estries の手法は、クリーンで計画的な運営の印象を与えます。

たとえば、ホスト マシン上でマルウェアを実行するには、次のものを確実に選択します。 DLL サイドローディングのトリッキーな方法。 そして研究者らは、「攻撃者は各ラウンドの操作終了後に定期的に既存のバックドアをクリーンアップし、次のラウンドを開始する際に新しいマルウェアを再展開した」と説明した。 私たちは、彼らが暴露と検出のリスクを減らすためにこれを行っていると信じています。」

DLL サイドローディングと、グループが使用するもう XNUMX つのツールである Fastly CDN は、以下の人々に人気があります。 Earth Longzhi のような APT41 サブグループ。 トレンドマイクロは、Earth Estries のバックドア ローダーと FamousSparrow のバックドア ローダーの間に重複があることも発見しました。 それでも、アースエストリーの正確な起源は不明です。 また、その C2 インフラがカナダからオーストラリア、フィンランドからラオスに至るまで、地球の全半球を網羅する XNUMX つの大陸にまたがっており、米国とインドに最も集中していることも役に立ちません。

世界中で政府やテクノロジー組織に対するキャンペーンが現在も続いているため、研究者らは近いうちにこのグループについてさらに詳しく知ることになるかもしれない。

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• プラトンESG。 自動車/EV、 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
• プラトンヘルス。 バイオテクノロジーと臨床試験のインテリジェンス。 こちらからアクセスしてください。
• チャートプライム。 ChartPrime でトレーディング ゲームをレベルアップしましょう。 こちらからアクセスしてください。
• ブロックオフセット。 環境オフセット所有権の近代化。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/attacks-breaches/-apt-attacks-from-earth-estries-hit-govt-tech-with-custom-malware