สายลับไซเบอร์ที่เชื่อมโยงกับจีนผสมผสาน Watering Hole และการโจมตีห่วงโซ่อุปทาน

การโจมตีทางไซเบอร์แบบมุ่งเป้าหมายที่เชื่อมโยงกับกลุ่มภัยคุกคามของจีนทำให้ผู้เข้าชมเว็บไซต์เทศกาลพุทธศาสนาติดเชื้อและผู้ใช้แอปพลิเคชันแปลภาษาทิเบต

แคมเปญปฏิบัติการทางไซเบอร์โดยทีมแฮ็ค Evasive Panda เริ่มตั้งแต่เดือนกันยายน 2023 หรือก่อนหน้านั้น และส่งผลกระทบต่อระบบในอินเดีย ไต้หวัน ออสเตรเลีย สหรัฐอเมริกา และฮ่องกง ตามการวิจัยใหม่จาก ESET

ส่วนหนึ่งของการรณรงค์ ผู้โจมตีได้บุกรุกเว็บไซต์ขององค์กรในอินเดียที่ส่งเสริมพุทธศาสนาแบบทิเบต บริษัทพัฒนาที่ผลิตงานแปลภาษาทิเบต และเว็บไซต์ข่าว Tibetpost ซึ่งจากนั้นได้โฮสต์โปรแกรมที่เป็นอันตรายโดยไม่รู้ตัว ผู้เยี่ยมชมไซต์จากบางพื้นที่ทั่วโลกติดไวรัส droppers และแบ็คดอร์ รวมถึง MgBot ที่กลุ่มชื่นชอบ เช่นเดียวกับโปรแกรมแบ็คดอร์ที่ค่อนข้างใหม่ Nightdoor

โดยรวมแล้ว กลุ่มได้ดำเนินการกับเวกเตอร์การโจมตีที่หลากหลายในแคมเปญ: การโจมตีฝ่ายตรงข้ามตรงกลาง (AitM) ผ่านการอัพเดตซอฟต์แวร์ การใช้ประโยชน์จากเซิร์ฟเวอร์การพัฒนา รูรดน้ำ และอีเมลฟิชชิ่ง Anh Ho นักวิจัยของ ESET ผู้ค้นพบการโจมตีกล่าว

“ความจริงที่ว่าพวกเขาประสานทั้งห่วงโซ่อุปทานและการโจมตีแบบ Water Hole ภายในแคมเปญเดียวกัน แสดงให้เห็นถึงทรัพยากรที่พวกเขามี” เขากล่าว “Nightdoor ค่อนข้างซับซ้อนซึ่งมีนัยสำคัญทางเทคนิค แต่ในความคิดของฉัน คุณลักษณะ [ที่สำคัญที่สุด] ของ Evasive Panda คือความหลากหลายของเวกเตอร์การโจมตีที่พวกเขาสามารถทำได้”

Evasive Panda เป็นทีมที่ค่อนข้างเล็กซึ่งโดยทั่วไปมุ่งเน้นไปที่การเฝ้าระวังบุคคลและองค์กรในเอเชียและแอฟริกา กลุ่มนี้มีความเกี่ยวข้องกับการโจมตีบริษัทโทรคมนาคมในปี 2023 ปฏิบัติการรักที่เปื้อน โดย SentinelOneและเกี่ยวข้องกับกลุ่มการระบุแหล่งที่มา Granite Typhoon หรือที่ Gallium ต่อ Microsoft. มันยังเป็นที่รู้จักกันในนาม Daggerfly โดยไซแมนเทคและดูเหมือนว่าจะทับซ้อนกับกลุ่มอาชญากรไซเบอร์และการจารกรรมที่รู้จัก Google Mandiant เป็น APT41.

หลุมน้ำและการประนีประนอมของห่วงโซ่อุปทาน

กลุ่มนี้ซึ่งเปิดใช้งานมาตั้งแต่ปี 2012 เป็นที่รู้จักกันดีในด้านการโจมตีห่วงโซ่อุปทานและการใช้ข้อมูลรับรองการลงนามรหัสที่ถูกขโมยและการอัปเดตแอปพลิเคชัน ติดเชื้อในระบบ ของผู้ใช้ในจีนและแอฟริกาในปี 2023

ในแคมเปญล่าสุดที่ ESET ตั้งค่าสถานะ กลุ่มนี้ได้โจมตีเว็บไซต์สำหรับเทศกาล Monlam ของชาวทิเบตเพื่อให้บริการแบ็คดอร์หรือเครื่องมือดาวน์โหลด และวางข้อมูลเพย์โหลดบนเว็บไซต์ข่าวทิเบตที่ถูกบุกรุก บทวิเคราะห์ที่เผยแพร่โดย ESET.

กลุ่มนี้ยังกำหนดเป้าหมายผู้ใช้ด้วยการประนีประนอมผู้พัฒนาซอฟต์แวร์แปลภาษาทิเบตด้วยแอปพลิเคชันโทรจันเพื่อแพร่เชื้อทั้งระบบ Windows และ Mac OS

“ ณ จุดนี้ มันเป็นไปไม่ได้ที่จะรู้ได้อย่างชัดเจนว่าพวกเขาต้องการข้อมูลอะไร แต่เมื่อแบ็คดอร์ – Nightdoor หรือ MgBot – ถูกใช้งาน เครื่องของเหยื่อก็เหมือนกับหนังสือที่เปิดอยู่” Ho กล่าว “ผู้โจมตีสามารถเข้าถึงข้อมูลใดก็ได้ที่พวกเขาต้องการ”

Evasive Panda กำหนดเป้าหมายบุคคลในประเทศจีนเพื่อวัตถุประสงค์ในการเฝ้าระวัง รวมถึงผู้คนที่อาศัยอยู่ในจีนแผ่นดินใหญ่ ฮ่องกง และมาเก๊า กลุ่มนี้ยังได้คุกคามหน่วยงานรัฐบาลในจีน มาเก๊า และประเทศในเอเชียตะวันออกเฉียงใต้และเอเชียตะวันออก

ในการโจมตีครั้งล่าสุด Georgia Institute of Technology เป็นหนึ่งในองค์กรที่ถูกโจมตีในสหรัฐอเมริกา ESET ระบุไว้ในการวิเคราะห์

ความสัมพันธ์จารกรรมทางไซเบอร์

Evasive Panda ได้พัฒนาเฟรมเวิร์กมัลแวร์แบบกำหนดเองของตัวเอง MgBot ซึ่งใช้สถาปัตยกรรมแบบโมดูลาร์และมีความสามารถในการดาวน์โหลดส่วนประกอบเพิ่มเติม รันโค้ด และขโมยข้อมูล ท่ามกลางคุณสมบัติอื่นๆ โมดูล MgBot สามารถสอดแนมเหยื่อที่ถูกบุกรุกและดาวน์โหลดความสามารถเพิ่มเติมได้

ในปี 2020 Evasive Panda ผู้ใช้เป้าหมายในอินเดียและฮ่องกง ใช้ตัวดาวน์โหลด MgBot เพื่อส่งมอบเพย์โหลดสุดท้าย ตามข้อมูลของ Malwarebytes ซึ่งเชื่อมโยงกลุ่มกับการโจมตีครั้งก่อนในปี 2014 และ 2018

Nightdoor ซึ่งเป็นแบ็คดอร์ที่กลุ่มเปิดตัวในปี 2020 สื่อสารกับเซิร์ฟเวอร์สั่งการและควบคุมเพื่อออกคำสั่ง อัปโหลดข้อมูล และสร้าง Reverse Shell

ชุดเครื่องมือต่างๆ รวมถึง MgBot ซึ่งใช้โดย Evasive Panda และ Nightdoor โดยเฉพาะ ชี้ไปที่กลุ่มจารกรรมทางไซเบอร์ที่เชื่อมโยงกับจีนโดยตรง Ho ของ ESET ระบุในการวิเคราะห์ที่เผยแพร่ของบริษัท

“ESET ถือว่าแคมเปญนี้เป็นกลุ่ม Evasive Panda APT โดยพิจารณาจากมัลแวร์ที่ใช้: MgBot และ Nightdoor” การวิเคราะห์ระบุ “ในช่วงสองปีที่ผ่านมา เราได้เห็นแบ็คดอร์ทั้งสองถูกใช้งานร่วมกันในการโจมตีที่ไม่เกี่ยวข้องกับองค์กรทางศาสนาในไต้หวัน ซึ่งพวกเขายังใช้เซิร์ฟเวอร์คำสั่ง [และ] ควบคุมเดียวกันด้วย”

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• PlatoData.Network Vertical Generative Ai เพิ่มพลังให้กับตัวเอง เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. Web3 อัจฉริยะ ขยายความรู้ เข้าถึงได้ที่นี่.
• เพลโตESG. คาร์บอน, คลีนเทค, พลังงาน, สิ่งแวดล้อม แสงอาทิตย์, การจัดการของเสีย. เข้าถึงได้ที่นี่.
• เพลโตสุขภาพ เทคโนโลยีชีวภาพและข่าวกรองการทดลองทางคลินิก เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/cyberattacks-data-breaches/china-linked-cyber-spies-blend-watering-hole-supply-chain-attacks