FamousSparrow APT
Μια νέα ομάδα APT (Advanced Persistent Threat) έχει συσταθεί στο τοπίο του κυβερνοεγκλήματος. Ανακαλύφθηκε από ερευνητές που το έχουν χαρακτηρίσει ως FamousSparrow APT. Η ομάδα πιστεύεται ότι δημιουργήθηκε γύρω στο 2019 και δραστηριοποιείται από τότε. Οι επιθέσεις που αποδίδονται στο FamousSparrow επικεντρώνονται κυρίως σε διακυβευτικά συστήματα υπολογιστών ξενοδοχείων. Σε επιλεγμένες περιπτώσεις, ο όμιλος έχει επίσης στοχεύσει κυβερνητικούς οργανισμούς, ιδιωτικές εταιρείες μηχανικών και δικηγορικά γραφεία.
Το προφίλ των θυμάτων υποδηλώνει ότι ο κύριος στόχος του FamousSparrow είναι να διεξάγει επιχειρήσεις κυβερνοκατασκοπείας. Η ομάδα δεν φαίνεται να στοχεύει μια συγκεκριμένη γεωγραφική περιοχή Συγκεκριμένα, καθώς έχουν εντοπιστεί θύματα σε όλο τον κόσμο - από τις ΗΠΑ, τη Βραζιλία, τη Γαλλία, την Αγγλία, τη Σαουδική Αραβία, την Ταϊλάνδη, την Ταϊβάν και άλλα.
Αλυσίδα επίθεσης
Τον Μάρτιο, το FamousSparrow προσάρμοσε τις επιθέσεις του γρήγορα και άρχισε να εκμεταλλεύεται τα τρωτά σημεία του Microsoft Exchange γνωστά ως ProxyLogon. Τότε, περισσότερες από 10 διαφορετικές ομάδες APT εξαπέλυσαν επιθέσεις για να καταλάβουν τους διακομιστές αλληλογραφίας του Exchange. Άλλα τρωτά σημεία που εκμεταλλεύεται η ομάδα επηρεάζουν το Microsoft SharePoint και την Oracle Opera.
Αφού παραβίασε το μηχάνημα του θύματος, το FamousSparrow ανέπτυξε δύο προσαρμοσμένες εκδόσεις του Mimikatz και μια προηγουμένως άγνωστη απειλή κακόβουλου λογισμικού backdoor με το όνομα SparrowDoor . Επιπλέον, χρησιμοποιούν επίσης ένα προσαρμοσμένο πρόγραμμα φόρτωσης για την κερκόπορτα, ένα βοηθητικό πρόγραμμα που φαίνεται να είναι επιφορτισμένο με τη συλλογή διαπιστευτηρίων και έναν σαρωτή NetBIOS.
Συνδέσεις με άλλα ATP
Κατά τη διάρκεια της έρευνάς τους, οι ερευνητές του infosec κατάφεραν να δημιουργήσουν αρκετές συνδέσεις μεταξύ του FamousSparrow και των ήδη καθιερωμένων ATP. Για παράδειγμα, σε μια περίπτωση η ομάδα χρησιμοποίησε μια παραλλαγή Motnug, η οποία είναι ένας φορτωτής που σχετίζεται με το Χάκερ SparklingGoblin. Σε ένα διαφορετικό θύμα, οι ερευνητές βρήκαν μια ενεργή έκδοση Metasploit που χρησιμοποιούσε έναν τομέα Command-and-Control (C2, C&C) που είχε προηγουμένως συνδεθεί με την ομάδα DRBControl.
