DarkNimbus Backdoor

یک گروه تهدید ناشناس که قبلاً نامشخص است، اکنون به عنوان مینوتور زمین شناخته شده است، به عنوان یک بازیگر مهم در نظارت سایبری ظاهر شده است. Earth Minotaur با استفاده از ابزارهای پیچیده ای مانند کیت بهره برداری MOONSHINE و یک درب پشتی تازه شناسایی شده به نام DarkNimbus، توانایی خود را برای هدف قرار دادن دستگاه های اندروید و ویندوز در تلاشی حساب شده برای نفوذ و نظارت بر جوامع تبتی و اویغور نشان داده است.

کیت بهره برداری MOONSHINE: دروازه ای برای تهدیدات بین پلت فرمی

مرکز عملیات مینوتور زمین، کیت بهره برداری MOONSHINE است. MOONSHINE که در ابتدا در سال 2019 در جریان حملات سایبری به اهداف تبتی ثبت شد، از آسیب‌پذیری‌های موجود در مرورگرها و برنامه‌های مبتنی بر کرومیوم برای تحویل محموله‌های خود استفاده می‌کند. از آن زمان به بعد تکامل یافته و آسیب‌پذیری‌های اضافی مانند CVE-2020-6418 را در خود جای داده است، نقصی در موتور جاوا اسکریپت V8 که توسط گوگل در اوایل سال 2020 وصله شد.

کیت اکسپلویت به طور قابل توجهی همه کاره است. این برنامه برنامه هایی مانند Google Chrome، WeChat، QQ و LINE را هدف قرار می دهد و برای نفوذ به دستگاه های قربانیان از طریق پیوندهای خراب طراحی شده است. این پیوندها اغلب به عنوان محتوای خوش‌خیم، مانند اعلامیه‌ها یا چند رسانه‌ای مربوط به جوامع تبتی و اویغور، پنهان می‌شوند تا اثربخشی تاکتیک‌های مهندسی اجتماعی را به حداکثر برسانند.

DarkNimbus: یک درب پشتی همه کاره و سرزده

هنگامی که MOONSHINE به یک دستگاه دسترسی پیدا می کند، درب پشتی DarkNimbus را ارائه می دهد، ابزاری که به طور خاص برای نظارت طولانی مدت مهندسی شده است.

DarkNimbus در اندروید

نوع اندروید DarkNimbus فوق العاده سرزده است و از پروتکل XMPP برای برقراری ارتباط با اپراتورهای خود استفاده می کند. این دستگاه برای استخراج داده های حساس از جمله:

• فراداده دستگاه
• داده های موقعیت جغرافیایی
• سابقه تماس
• مخاطبین و پیام ها
• نشانک های مرورگر و محتوای کلیپ بورد

DarkNimbus همچنین از سرویس‌های دسترسی اندروید برای رهگیری پیام‌های برنامه‌های ارتباطی محبوب مانند WhatsApp، WeChat و Skype استفاده می‌کند. علاوه بر این، می‌تواند دستورات پوسته را اجرا کند، تماس‌ها را ضبط کند، اسکرین‌شات بگیرد و حتی خود را حذف نصب کند تا از شناسایی فرار نکند.

DarkNimbus در ویندوز

اگرچه از ویژگی های کمتری برخوردار است، اما نسخه ویندوز همچنان ابزاری قدرتمند برای استخراج داده ها است. از اواخر سال 2020 فعال است، می‌تواند اطلاعات سیستم، ضربه‌های کلید، داده‌های کلیپ‌بورد، اطلاعات کاربری ذخیره‌شده و تاریخچه مرورگر را ضبط کند.

مهندسی اجتماعی و زنجیره های بهره برداری: آناتومی یک حمله

مینوتور زمین به شدت به مهندسی اجتماعی برای جذب قربانیان در دام خود متکی است. پیوندهای تهدیدآمیز تعبیه شده در برنامه‌های پیام‌رسانی فوری، قربانیان را به یکی از بیش از 55 سرور بهره‌برداری MOONSHINE هدایت می‌کنند. این سرورها استراتژی های مختلفی را بر اساس پیکربندی دستگاه و مرورگر قربانی اجرا می کنند:

• اجرای اکسپلویت : اگر آسیب‌پذیری‌ها شناسایی شوند، سرور درب پشتی DarkNimbus را نصب می‌کند.
• تغییر مسیر فیشینگ : اگر سوء استفاده ها با شکست مواجه شوند، قربانیان ممکن است با صفحات فیشینگ مواجه شوند که از آنها خواسته می شود مرورگرهای خود را به روز کنند، که می تواند منجر به سازش های بیشتر شود.

در برخی موارد، این حمله شامل کاهش رتبه موتور مرورگر در برنامه هایی مانند WeChat، جایگزینی آن با نسخه تروجانی شده است که دسترسی مداوم را تسهیل می کند.

دسترسی جهانی مینوتور زمین

فعالیت این گروه از نظر جغرافیایی محدود نیست. قربانیان در 18 کشور، از جمله ایالات متحده، کانادا، هند، آلمان و تایوان شناسایی شده اند که دامنه جهانی عملیات آن را برجسته می کند.

در حالی که MOONSHINE با گروه های تهدید دیگری مانند POISON CARP و Earth Empusa مرتبط بوده است، Earth Minotaur به طور مستقل عمل می کند. تمرکز این گروه بر جوامع تبتی و اویغور با کمپین های مشابهی از سوی دشمنانی مانند پاندا فراری و اسکارلت میمیک همسو است. با این حال، مینوتور زمین به دلیل استفاده از ابزارهای بسیار سازگار و زنجیره های عفونت پیچیده متمایز است.

تکامل مداوم MOONSHINE

MOONSHINE همچنان یک ابزار در دست توسعه فعال است و در میان عوامل مختلف تهدید، از جمله UNC5221 و Earth Minotaur به اشتراک گذاشته شده است. اصلاح مداوم آن بر تداوم دشمنانی که جوامع آسیب پذیر را هدف قرار می دهند تأکید می کند.

افکار نهایی: شناخت و کاهش تهدید

مینوتور زمین نمونه ای از پیچیدگی فزاینده حملات سایبری هدفمند است. از کاربران خواسته می شود نرم افزار به روز شده را حفظ کنند، در پیوندهای ناخواسته احتیاط کنند و در برابر تلاش های فیشینگ هوشیار باشند. همانطور که بازیگران تهدید تاکتیک های خود را اصلاح می کنند، اقدامات پیشگیرانه امنیت سایبری اولین خط دفاعی در برابر تهدیدات در حال تکامل مانند مینوتور زمین است.