WinDealer

تقوم مجموعة مجرمي الإنترنت أقل شهرة من الناطقين بالصينية بتنفيذ عمليات هجوم تنشر برامج ضارة لسرقة المعلومات على الأجهزة المخترقة. يقوم المتسللون من مجموعة LuoYu باعتراض التحديثات الخاصة بالتطبيقات المشروعة وتبديلها بحمولات ضارة فيما يُعرف باسم هجمات الرجل على الجانب. من أجل نجاح العدوى ، تراقب الجهات الفاعلة في التهديد حركة مرور الشبكة لضحاياهم المختارين. عند ملاحظة طلب تحديث تطبيق متعلق بمنتجات البرامج الشائعة في السوق الآسيوية مثل QQ أو Wanga Wang أو WeChat ، يقوم قراصنة LuoYu باستبدالها بمثبتات برنامج WInDealer الضار.

عند إعدامه على نظام Windows الخاص بالضحية ، سيسمح WinDealer للمهاجمين بتنفيذ مجموعة واسعة من الإجراءات المتطفلة والخبيثة. ترتبط إحدى الوظائف الأساسية للتهديد بجمع البيانات السرية والحساسة واستخراجها لاحقًا. ومع ذلك ، يمكن للقراصنة أيضًا الاعتماد على WinDealer لتثبيت المزيد من التهديدات الخلفية المتخصصة من أجل ضمان استمرارها على الجهاز. يمكن لـ WinDealer معالجة نظام الملفات أو البحث عن أجهزة إضافية متصلة بنفس الشبكة أو تشغيل أوامر عشوائية.

إحدى السمات المميزة للتهديد هي الطريقة التي يتواصل بها مع خادم القيادة والتحكم (C2، C&C) الخاص به. بدلاً من استخدام خادم C2 ذي التشفير الثابت ، أنشأ مجرمو الإنترنت في LuoYu مجموعة من 48000 عنوان IP من مقاطعتي Xizang و Guizhou الصينيتين. سيتصل التهديد بعنوان IP عشوائي ChinaNET (AS4134) من بين هذا التجمع. يعتقد باحثو الأمن السيبراني في Kaspersky الذين أصدروا تفاصيل حول LuoYu و WinDealer أن المتسللين قادرون على استخدام مثل هذه التقنية بفضل الوصول إلى أجهزة التوجيه المخترقة داخل AS4134 أو من خلال استخدام أدوات إنفاذ القانون على مستوى ISP. الاحتمال الآخر هو أن الجهات المهددة لديها أساليب داخلية لا تزال غير معروفة لعامة الناس.