DarkNimbus Backdoor

Varem tuvastamata ohurühm, mida nüüd nimetatakse Maa Minotauriks, on küberseires oluliseks tegijaks tõusnud. Kasutades keerukaid tööriistu, nagu MOONSHINE exploit kit ja äsja tuvastatud tagauks nimega DarkNimbus, on Earth Minotaur näidanud oma võimet sihtida nii Androidi kui ka Windowsi seadmeid, tehes tiibeti ja uiguuri kogukondadesse imbumist ja nende jälgimist.

MOONSHINE Exploit Kit: värav platvormideüleste ohtude jaoks

Maa Minotauri tegevuse keskmes on MOONSHINE'i kasutuskomplekt. Algselt dokumenteeriti 2019. aastal Tiibeti sihtmärkidele suunatud küberrünnakute ajal. MOONSHINE kasutab Chromiumipõhiste brauserite ja rakenduste turvaauke oma kasuliku koormuse edastamiseks. Sellest ajast alates on see arenenud, lisades täiendavaid turvaauke, nagu CVE-2020-6418, viga V8 JavaScripti mootoris, mille Google parandas 2020. aasta alguses.

Kasutuskomplekt on märkimisväärselt mitmekülgne. See sihib selliseid rakendusi nagu Google Chrome, WeChat, QQ ja LINE ning on loodud rikutud linkide kaudu ohvrite seadmetesse imbumiseks. Need lingid on sageli maskeeritud healoomuliseks sisuks, nagu tiibeti ja uiguuri kogukondadega seotud teadaanded või multimeedia, et maksimeerida sotsiaalse manipuleerimise taktika tõhusust.

DarkNimbus: mitmekülgne ja pealetükkiv tagauks

Kui MOONSHINE saab juurdepääsu seadmele, pakub see DarkNimbus tagaukse, spetsiaalselt pikaajaliseks jälgimiseks loodud tööriista.

DarkNimbus Androidis

DarkNimbusi Androidi variant on erakordselt pealetükkiv, kasutades oma operaatoritega suhtlemiseks XMPP-protokolli. See on varustatud tundlike andmete, sealhulgas:

• Seadme metaandmed
• Geolokatsiooni andmed
• Kõneajalugu
• Kontaktid ja sõnumid
• Brauseri järjehoidjad ja lõikelaua sisu

DarkNimbus kasutab Androidi juurdepääsetavuse teenuseid ka populaarsete suhtlusrakenduste, nagu WhatsApp, WeChat ja Skype, sõnumite pealtkuulamiseks. Lisaks saab see tuvastamisest kõrvalehoidmiseks täita shellikäske, salvestada kõnesid, jäädvustada ekraanipilte ja isegi end desinstallida.

DarkNimbus Windowsis

Kuigi Windowsi versioon on vähem funktsioonirikas, on see endiselt tõhus tööriist andmete väljafiltrimisel. See on aktiivne alates 2020. aasta lõpust ning suudab jäädvustada süsteemiteavet, klahvivajutusi, lõikelaua andmeid, salvestatud mandaate ja brauseri ajalugu.

Sotsiaaltehnoloogia ja ärakasutamise ahelad: rünnaku anatoomia

Maa Minotauros tugineb ohvrite lõksu meelitamiseks suuresti sotsiaalsele manipuleerimisele. Kiirsuhtlusrakendustesse manustatud ähvardavad lingid suunavad ohvrid ühte enam kui 55 MOONSHINE'i ärakasutamisserverist. Need serverid juurutavad erinevaid strateegiaid, mis põhinevad ohvri seadmel ja brauseri konfiguratsioonil:

• Exploit Execution : kui tuvastatakse haavatavused, installib server DarkNimbuse tagaukse.
• Andmepüügi ümbersuunamine : kui ärakasutamine ebaõnnestub, võivad ohvrid sattuda andmepüügilehtedele, mis kutsuvad neid üles oma brausereid värskendama, mis võib kaasa tuua täiendavaid kompromisse.

Mõnel juhul hõlmab rünnak brauseri mootori alandamist sellistes rakendustes nagu WeChat, asendades selle Trooja versiooniga, mis hõlbustab püsivat juurdepääsu.

Maa Minotaurose globaalne haare

Grupi tegevus ei ole geograafiliselt piiratud. Ohvreid on tuvastatud 18 riigis, sealhulgas USA-s, Kanadas, Indias, Saksamaal ja Taiwanis, mis toob esile selle tegevuse ülemaailmse ulatuse.

Kui MOONSHINE'i on seostatud teiste ohurühmadega, nagu POISON CARP ja Earth Empusa, siis Earth Minotaur tegutseb iseseisvalt. Rühma keskendumine tiibeti ja uiguuri kogukondadele on kooskõlas selliste vastaste kampaaniatega nagu Evasive Panda ja Scarlet Mimic. Maa Minotaur paistab aga silma väga kohandatavate tööriistade ja keerukate nakkusahelate kasutamise poolest.

MOONSHINE’i pidev areng

MOONSHINE jääb aktiivseks arenduseks olevaks tööriistakomplektiks ja seda jagavad erinevad ohus osalejad, sealhulgas UNC5221 ja Earth Minotaur. Selle jätkuv täiustamine rõhutab haavatavate kogukondade vastu suunatud vastaste järjekindlust.

Viimased mõtted: ohu äratundmine ja leevendamine

Maa Minotauros on näide sihitud küberrünnakute keerukusest. Kasutajatel palutakse säilitada ajakohastatud tarkvara, olla soovimatute linkidega ettevaatlik ja olla andmepüügikatsete suhtes valvsad. Kuna ohus osalejad täiustavad oma taktikat, jäävad ennetavad küberjulgeolekumeetmed esimeseks kaitseliiniks arenevate ohtude, nagu Maa Minotauruse vastu.