“水雉行动”揭示了 DinodasRAT 定制后门

一种名为“DinodasRAT”的新恶意软件威胁被发现，该威胁被用于针对圭亚那政府实体的有针对性的网络间谍活动。

该活动被 ESET 称为“水雉行动”，以原产于南美国家的水鸟命名，可能与（未命名）有关 中国国家支持的网络攻击者，研究人员指出。

该活动从针对性的鱼叉式网络钓鱼电子邮件开始，其中提到了圭亚那最近的公共和政治事务。 一旦进入，攻击者就会在整个内部网络中横向移动； 据报道，DinodasRAT 随后被用来窃取文件、操纵 Windows 注册表项并执行命令 ESET 周四对 Jacana 行动的分析.

该恶意软件因其发送给攻击者的每个受害者标识符的开头使用“Din”而得名，并且该字符串与小型霍比特人 Dinodas Brandybuck 的名字相似。 指环王。 也许相关：DinodasRAT 使用 Tiny 加密算法来锁定其通信和泄露活动，防止窥探。

中国 APT 的工作？

ESET 将该活动和自定义 RAT 归因于中国高级持续威胁 (APT)，且可信度中等，特别是基于该攻击使用了 Korplug RAT（又名 PlugX） — 最喜欢的工具 Mustang Panda 等与中国结盟的网络威胁组织.

据 ESET 称，这次袭击可能是对圭亚那与中国外交关系最近出现的小问题的报复，例如圭亚那在涉及中国公司的洗钱调查中逮捕了三人。 这些指控遭到当地中国大使馆的质疑。

有趣的是，一个诱饵提到了一名“越南的圭亚那逃犯”，并从以 gov.vn 结尾的合法域名提供恶意软件。

“该域名表示越南政府网站； ESET 研究员费尔南多·塔维拉 (Fernando Tavella) 在报告中表示：“因此，我们相信运营商能够侵入越南政府实体，并利用其基础设施来托管恶意软件样本。”——再次表明该活动是更老练的参与者所为。