Λυκείου Α.Π.Τ
Τα ονόματα του Λυκείου και του Hexane είναι ονομασίες infosec για την ίδια ομάδα hackers Advanced Persistent Threat (APT). Οι εγκληματίες είχαν καταφέρει να λειτουργήσουν υπό το ραντάρ για σχεδόν ένα χρόνο προτού έρθουν στην επιφάνεια οι δραστηριότητές τους τον Αύγουστο του 2019. Το Λύκειο είναι ένας εξαιρετικά εξειδικευμένος παράγοντας απειλών που εστιάζει στη συλλογή διαπιστευτηρίων και στην εξαγωγή δεδομένων. Στοχεύουν μια πολύ στενή ομάδα οργανισμών που βρίσκονται σε μια συγκεκριμένη γεωγραφική περιοχή - οντότητες πετρελαίου, φυσικού αερίου και τηλεπικοινωνιών που δραστηριοποιούνται στη Μέση Ανατολή.
Το Λύκειο χρησιμοποιεί μια σύνθετη αλυσίδα επίθεσης κατά του επιλεγμένου θύματος που αποτελείται από πολλαπλά στάδια. Για να αποκτήσουν βάση στο δίκτυο του στόχου, οι χάκερ χρησιμοποιούν διάφορες τακτικές κοινωνικής μηχανικής για να παραδώσουν δηλητηριασμένα έγγραφα του Microsoft Office. Ορισμένα από τα έγγραφα που παρατήρησαν ερευνητές κυβερνοασφάλειας ότι χρησιμοποιούνται από το Λύκειο έχουν δελεαστικούς τίτλους ή τίτλους που κεντρίζουν την περιέργεια του χρήστη, όπως «Οι χειρότεροι κωδικοί πρόσβασης του 2017» ή «Δέκα κορυφαίες πρακτικές ασφαλείας». Άλλες φορές, το έγγραφο είναι γραμμένο εξ ολοκλήρου στα αραβικά, επιβεβαιώνοντας τη συνεχιζόμενη εστίαση της ομάδας στην περιοχή.
Εάν ο χρήστης εκτελέσει το δηλητηριασμένο αρχείο, ενεργοποιεί ένα σταγονόμετρο κακόβουλου λογισμικού που ονομάζεται DanDrop , το οποίο είναι υπεύθυνο για την παράδοση του πραγματικού ωφέλιμου φορτίου κακόβουλου λογισμικού στο δεύτερο στάδιο της επίθεσης. Το DanDrop εγχέεται στα έγγραφα MS ως μακροεντολή VBA. Για το τελικό σημείο της επίθεσης, το Λύκειο χρησιμοποιεί έναν Trojan Remote Access (RAT) που ονομάζεται DanBot . Για την επικοινωνία με τους διακομιστές Command-and-Control (C2, C&C), το κακόβουλο λογισμικό RAT φαίνεται ότι χρησιμοποιεί τόσο τα πρωτόκολλα DNS όσο και τα πρωτόκολλα HTTP.
Για να επεκτείνει το εύρος της εμβέλειάς του εντός του παραβιασμένου δικτύου, το Lyceum μπορεί να αναπτύξει τρία πρόσθετα εργαλεία με τη μορφή σεναρίων PowerShell - το ' kl.ps1 ' είναι ένα προσαρμοσμένο πρόγραμμα καταγραφής κλειδιών , το ' Get-LAPSP.ps1' εκμεταλλεύεται το LDAP για τη συλλογή δεδομένων από Active Directory και « Decrypt-RDCMan.ps1 », που έχει ως αποστολή την αποκρυπτογράφηση διαπιστευτηρίων που είναι αποθηκευμένα στο αρχείο διαμόρφωσης RDCMan.
Αν και οι δραστηριότητές τους έχουν περιοριστεί σε μια συγκεκριμένη περιοχή μέχρι στιγμής, οι χάκερ από το Λύκειο έχουν δημιουργήσει μια αλυσίδα επιθέσεων και ένα αποτελεσματικό σύνολο εργαλείων, που θα μπορούσαν να τους επιτρέψουν εύκολα να εξαπολύσουν επιθέσεις εναντίον ενός ευρύτερου συνόλου οντοτήτων.
