«Операция Якана» раскрывает специальный бэкдор DinodasRAT

Новая вредоносная угроза, получившая название «DinodasRAT», была обнаружена после использования в целевой кампании кибершпионажа против правительственного учреждения в Гайане.

Кампания, которую ESET называет «Операцией Джакана» в честь водоплавающих птиц, обитающих в этой южноамериканской стране, может быть связана с (неназванным) Кибератаки, спонсируемые китайским государством, отметили исследователи.

Кампания началась с целевых фишинговых писем, в которых упоминались недавние общественные и политические события в Гайане. Оказавшись внутри, злоумышленники начали перемещаться по внутренней сети; По данным компании, DinodasRAT затем использовался для извлечения файлов, манипулирования ключами реестра Windows и выполнения команд. Анализ операции Jacana, проведенный ESET в четверг.

Вредоносная программа получила свое название из-за использования буквы «Din» в начале каждого идентификатора жертвы, которую она отправляет злоумышленникам, а также из-за сходства этой строки с именем миниатюрного хоббита Динодаса Брэндибака из The Lord of the Rings. Возможно, это связано с тем, что DinodasRAT использует алгоритм шифрования Tiny, чтобы скрыть свои коммуникации и действия по краже от посторонних глаз.

Работа китайского APT?

ESET относит кампанию и специальный RAT к китайской продвинутой постоянной угрозе (APT) со средней степенью достоверности, основываясь, в частности, на использовании атаки Korplug RAT (он же PlugX) — любимый инструмент Связанные с Китаем группы киберугроз, такие как Mustang Panda.

По данным ESET, нападение могло быть ответом на недавние сбои в дипломатических отношениях между Гайаной и Китаем, такие как арест Гайаной трех человек в рамках расследования об отмывании денег с участием китайских компаний. Эти обвинения были оспорены местным посольством Китая.

Интересно, что одна из приманок упомянула «гайанского беглеца во Вьетнаме» и использовала вредоносное ПО с законного домена, заканчивающегося на gov.vn.

«Этот домен указывает на правительственный веб-сайт Вьетнама; таким образом, мы считаем, что операторы смогли скомпрометировать вьетнамское правительственное учреждение и использовать его инфраструктуру для размещения образцов вредоносного ПО», — заявил в отчете исследователь ESET Фернандо Тавелла, что снова предполагает, что эта деятельность является работой более опытного игрока.