DazzleSpy злонамерен софтуер
Мощна, пълноценна заплаха за iOS и macOS, наречена DazzleSpy, беше разгърната при атаки срещу граждани на Хонкконг с продемократични пристрастия. Атаките бяха забелязани за първи път от Google TAG, който информира Apple за тях. За да разпространят заплахата от зловреден софтуер, киберпрестъпниците създадоха фалшив уебсайт, съобщен от Феликс Айме от SEKOIA.IO. Те също така компрометираха официалния уебсайт на радиостанцията на D100, онлайн, продемократично радио. Повече подробности за заплахата, потенциалните нападатели и използваната верига за заразяване бяха предоставени в доклад от изследователи.
Според техните открития, досега неизвестният бекдор може да разпознае множество различни команди от своите оператори и да установи множество инвазивни рутинни процедури върху компрометираните системи. В зависимост от целите на нападателите, DazzleSpy може да ексфилтрира специално избрани файлове, да изброява работещи процеси, да изброява файлове в директориите Dekstop, Documents и Downloads, да изпълнява произволни команди на обвивката, да манипулира файловата система и др. DazzleSpy, както подсказва името му, също е в състояние да шпионира жертвата чрез регистриране на събития с мишката, както и стартиране или прекратяване на отдалечени сесии. Освен това заплахата изпълнява необходимите задачи за злоупотреба с уязвимостта CVE-2019-8526.
C2 Комуникация и приписване
Задната врата също така гарантира, че никой не шпионира нейната комуникация със сървъра за командване и контрол (C2, C&C) на атаката. Първо, DazzleSpy използва криптиране от край до край за своите съобщения. Отделно заплахата вмъква прокси за проверка на TLS, който стои между заразените устройства и C2 сървъра. Ако се установи, че неизвестен обект подслушва, DazzleSpy няма да направи опит за комуникация.
Засега няма убедителни доказателства, установяващи киберпрестъпната група, отговорна за атаките на DazzleSpy. Въпреки това, естеството на операцията и фактът, че изследователите на infosec са открили няколко вътрешни съобщения на китайски може да са улика. Операцията също така проявява значителни прилики с атака в дупка за поливане, която се проведе през 2020 г. Тогава заплашващата дейност се приписва на група APT (Advanced Persistent Threat), проследявана като TwoSail Junk. Хакерите се насочиха към гражданите на Хонг Конг със злонамерения софтуер LightSpy iOS, който се разпространяваше чрез техники за инжектиране на iframe на уебсайтове.
