مایکروسافت: گروه Mystery Targeting Telcos به APT های چینی مرتبط است

مایکروسافت: گروه Mystery Targeting Telcos به APT های چینی مرتبط است

تمبر زمان: 11 دسامبر 2023، 11:00 صبح
گره منبع: 3008079

بدافزار متداول گروهی از محققان را وادار کرده است تا گروه تهدید اسرارآمیز Sandman را که به دلیل حملات سایبری علیه ارائه دهندگان خدمات مخابراتی در سراسر جهان شناخته می‌شد، به شبکه رو به رشدی از گروه‌های تهدید دائمی پیشرفته (APT) تحت حمایت دولت چین مرتبط کنند.

La ارزیابی اطلاعات تهدید نتیجه همکاری مایکروسافت، SentinelLabs و PwC است و فقط یک نگاه اجمالی به پیچیدگی و گستردگی کلی ارائه می دهد. APT چینی به گفته محققان، چشم انداز تهدید.

Sandman برای اولین بار در ماه اوت و پس از یک سری موارد شناسایی شد حملات سایبری به مخابرات در سراسر خاورمیانه، اروپای غربی و آسیای جنوبی، که به طور مشخص از یک درب پشتی به نام "LuaDream" بر اساس زبان برنامه نویسی Lua و همچنین یک درب پشتی به نام "Keyplug" که در C++ پیاده سازی شده است، استفاده کردند.

با این حال، SentinelOne گفت که تحلیلگران آن قادر به شناسایی منشاء گروه تهدید - تا کنون - نبودند.

تحقیقات جدید نشان می‌دهد: «نمونه‌هایی که ما تجزیه و تحلیل کردیم، شاخص‌های ساده‌ای را به اشتراک نمی‌گذارند که با اطمینان آن‌ها را به‌عنوان نزدیک به هم مرتبط یا منشا یک منبع طبقه‌بندی کند، مانند استفاده از کلیدهای رمزگذاری یکسان یا همپوشانی مستقیم در اجرا». با این حال، ما شاخص‌هایی از رویه‌های توسعه مشترک و برخی همپوشانی‌ها در عملکردها و طراحی را مشاهده کردیم که نشان‌دهنده الزامات عملکردی مشترک توسط اپراتورها است. این در چشم انداز بدافزار چینی غیرمعمول نیست."

گزارش جدید می‌گوید شیوه‌های توسعه Lua و همچنین پذیرش درب پشتی Keyplug، به نظر می‌رسد با بازیگر تهدید مستقر در چین STORM-08/Red Dev 40 که به طور مشابه برای هدف قرار دادن مخابرات در خاورمیانه و جنوب آسیا شناخته می‌شود، به اشتراک گذاشته شده است.

پیوندهای APT چینی

این گزارش افزود که یک تیم Mandiant ابتدا این موضوع را گزارش کرد درب پشتی کلید در حال استفاده است توسط گروه چینی شناخته شده APT41 در مارس 2022. علاوه بر این، تیم‌های مایکروسافت و PwC دریافتند که درب پشتی Keyplug از چندین گروه تهدید دیگر مبتنی بر چین عبور می‌کند.

به گفته محققان، جدیدترین بدافزار Keyplug با ابزارهای مبهم سازی جدید، مزیت جدیدی به این گروه می دهد.

آنها STORM-0866/Red Dev 40 را از خوشه های دیگر بر اساس ویژگی های بدافزار خاص، مانند کلیدهای رمزگذاری منحصر به فرد برای ارتباطات فرمان و کنترل KEYPLUG (C2) و احساس امنیت عملیاتی بالاتر، مانند تکیه بر ابر، متمایز می کنند. بر اساس این گزارش، زیرساخت‌های پروکسی معکوس برای پنهان کردن مکان‌های میزبانی واقعی سرورهای C2 خود.

محققان افزودند، تجزیه و تحلیل راه‌اندازی C2 و هر دو نوع بدافزار LuaDream و Keyplug همپوشانی‌هایی را نشان می‌دهد که «الزامات عملکردی مشترک توسط اپراتورها را پیشنهاد می‌کند».

همکاری موثر و رو به رشد بین یک در حال گسترش پیچ و خم گروه های APT چینی این گزارش اضافه کرد که به اشتراک دانش مشابه در میان جامعه امنیت سایبری نیاز دارد.

در این گزارش آمده است: «بازیگران تهدید کننده آن تقریباً به طور قطع به همکاری و هماهنگی ادامه خواهند داد و رویکردهای جدیدی را برای ارتقای عملکرد، انعطاف‌پذیری و مخفی بودن بدافزار خود بررسی خواهند کرد.» اتخاذ پارادایم توسعه Lua یک نمونه قانع کننده از این است. پیمایش چشم‌انداز تهدید نیازمند همکاری مستمر و اشتراک‌گذاری اطلاعات در جامعه تحقیقاتی اطلاعات تهدید است.»

تمبر زمان:

بیشتر از تاریک خواندن