مايكروسوفت: مجموعة غامضة تستهدف شركات الاتصالات المرتبطة بالتهديدات المتقدمة الصينية

دفعت البرمجيات الخبيثة الشائعة مجموعة من الباحثين إلى ربط مجموعة التهديد Sandman التي كانت غامضة في السابق، والمعروفة بالهجمات الإلكترونية ضد مقدمي خدمات الاتصالات في جميع أنحاء العالم، بشبكة متنامية من مجموعات التهديد المستمر المتقدم (APT) المدعومة من الحكومة الصينية.

• تقييم استخبارات التهديد هو نتيجة للتعاون بين Microsoft وSentinelLabs وPwC، ويقدم لمحة بسيطة عن التعقيد العام واتساع نطاق العمل. ايه بي تي الصينية مشهد التهديد، وفقا للباحثين.

تم التعرف على ساندمان لأول مرة في أغسطس، بعد سلسلة من الهجمات السيبرانية على شركات الاتصالات في جميع أنحاء الشرق الأوسط وأوروبا الغربية وجنوب آسيا، والتي استخدمت بشكل خاص بابًا خلفيًا يسمى "LuaDream" استنادًا إلى لغة برمجة Lua، بالإضافة إلى باب خلفي يسمى "Keyplug" تم تنفيذه في لغة C++.

ومع ذلك، قالت SentinelOne إن محلليها لم يتمكنوا من تحديد أصول مجموعة التهديد – حتى الآن.

ووجد البحث الجديد أن "العينات التي قمنا بتحليلها لا تشترك في مؤشرات واضحة من شأنها أن تصنفها بثقة على أنها مرتبطة ارتباطًا وثيقًا أو تنشأ من نفس المصدر، مثل استخدام مفاتيح تشفير متطابقة أو تداخلات مباشرة في التنفيذ". "ومع ذلك، لاحظنا مؤشرات ممارسات التطوير المشتركة وبعض التداخلات في الوظائف والتصميم، مما يشير إلى متطلبات وظيفية مشتركة من قبل المشغلين. وهذا ليس بالأمر غير المألوف في مشهد البرمجيات الخبيثة في الصين”.

يقول التقرير الجديد إن ممارسات تطوير Lua، بالإضافة إلى اعتماد الباب الخلفي Keyplug، يبدو أنها تمت مشاركتها مع ممثل التهديد STORM-08/Red Dev 40 ومقره الصين، والمعروف أيضًا باستهداف شركات الاتصالات في الشرق الأوسط وجنوب آسيا.

روابط APT الصينية

وأضاف التقرير أن فريق مانديانت أبلغ أولاً عن الحادث يتم استخدام Keyplug مستتر عن طريق المجموعة الصينية المعروفة APT41 وأضاف التقرير أن فرق مايكروسوفت وبرايس ووترهاوس كوبرز وجدت أن الباب الخلفي Keyplug تم تمريره عبر عدة مجموعات تهديد إضافية مقرها الصين.

وتمنح أحدث البرمجيات الخبيثة Keyplug المجموعة ميزة جديدة، وفقًا للباحثين، من خلال أدوات تشويش جديدة.

"إنهم يميزون STORM-0866/Red Dev 40 عن المجموعات الأخرى بناءً على خصائص محددة للبرامج الضارة، مثل مفاتيح التشفير الفريدة لاتصالات القيادة والتحكم (C2) KEYPLUG، والشعور العالي بالأمان التشغيلي، مثل الاعتماد على السحابة". البنية التحتية للوكيل العكسي القائمة على إخفاء مواقع الاستضافة الحقيقية لخوادم C2 الخاصة بهم، وفقًا للتقرير.

وأضاف الباحثون أن تحليل إعداد C2 وكلا سلالتي البرامج الضارة LuaDream وKeyplug أظهرا تداخلات، "مما يشير إلى متطلبات وظيفية مشتركة من قبل مشغليهما".

التعاون المتزايد والفعال بين توسيع المتاهة من مجموعات APT الصينية وأضاف التقرير أن هذا يتطلب تبادلًا مماثلاً للمعرفة بين مجتمع الأمن السيبراني.

وقال التقرير: "من شبه المؤكد أن الجهات الفاعلة في مجال التهديد الأساسي ستواصل التعاون والتنسيق، واستكشاف أساليب جديدة لترقية وظائف ومرونة وخفية برامجها الضارة". "إن اعتماد نموذج التنمية لوا هو مثال مقنع على ذلك. يتطلب التعامل مع مشهد التهديدات التعاون المستمر ومشاركة المعلومات داخل مجتمع أبحاث استخبارات التهديدات.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
• أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
• أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
• أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
• المصدر https://www.darkreading.com/threat-intelligence/microsoft-mystery-group-targeting-telcos-chinese-apts