"Operation Jacana" avslöjar DinodasRAT Custom Backdoor

Ett nytt skadligt hot som kallas "DinodasRAT" har avslöjats efter att ha använts i en riktad cyberspionagekampanj mot en statlig enhet i Guyana.

Kampanjen, som ESET kallar "Operation Jacana" efter vattenfåglar som är infödda i det sydamerikanska landet, skulle kunna kopplas till (unname) Kinesiska statligt sponsrade cyberattackare, konstaterade forskare.

Kampanjen inleddes med riktade e-postmeddelanden om nätfiske som hänvisade till senaste Guyanas offentliga och politiska angelägenheter. Väl in, rörde sig angriparna i sidled genom det interna nätverket; DinodasRAT användes sedan för att exfiltrera filer, manipulera Windows registernycklar och köra kommandon, enligt ESETs torsdagsanalys av Jacana-operationen.

Skadlig programvara fick sitt namn baserat på användningen av "Din" i början av varje offeridentifierare som den skickar till angriparna, och den strängens likhet med namnet på den lilla hobbiten Dinodas Brandybuck från Sagan om ringen. Kanske relaterat: DinodasRAT använder Tiny-krypteringsalgoritmen för att låsa bort sina kommunikationer och exfiltreringsaktiviteter från nyfikna ögon.

En kinesisk APTs arbete?

ESET tillskriver kampanjen och den anpassade RAT till ett kinesiskt avancerat persistent hot (APT) med medelhögt självförtroende, särskilt baserat på attackens användning av Korplug RAT (aka PlugX) — ett favoritverktyg av Kina-anpassade cyberthotgrupper som Mustang Panda.

Attacken kan vara som vedergällning för den senaste tidens hicka i de diplomatiska förbindelserna mellan Guyana och Kina, enligt ESET, som Guyanas arrestering av tre personer i en penningtvättsutredning som involverar kinesiska företag. Dessa anklagelser bestreds av den lokala kinesiska ambassaden.

Intressant nog nämnde en lockelse en "guyansk flykting i Vietnam" och serverade skadlig programvara från en legitim domän som slutar med gov.vn.

"Den här domänen indikerar en vietnamesisk statlig webbplats; Därför tror vi att operatörerna kunde äventyra en vietnamesisk statlig enhet och använda dess infrastruktur för att vara värd för skadlig programvara, säger ESET-forskaren Fernando Tavella i rapporten – vilket återigen antyder att aktiviteten är en mer sofistikerad aktörs arbete.