WolfsBane Backdoor
گروه ژلسمیوم (APT) همسو با چین به یک درب پشتی جدید لینوکس به نام WolfsBane مرتبط شده است. بر اساس گزارش‌ها، این ابزار در عملیات‌های سایبری به احتمال زیاد در شرق و جنوب شرق آسیا مورد استفاده قرار می‌گیرد و تحول قابل توجهی را در تاکتیک‌های این گروه نشان می‌دهد.
فهرست مطالب
WolfsBane: اقتباس لینوکس از Gelsevirine
اعتقاد بر این است که WolfsBane نوع لینوکس Gelsevirine است، یک درب پشتی که از سال 2014 در سیستم‌های ویندوز استفاده شده است. در کنار WolfsBane، محققان ایمپلنت دیگری را که قبلاً مستند نشده بود، FireWood را شناسایی کرده‌اند که به مجموعه بدافزار جداگانه‌ای به نام Project Wood متصل است. اگرچه FireWood به طور آزمایشی به Gelsemium نسبت داده می شود، کارشناسان پیشنهاد می کنند که ممکن است در بین چندین گروه هکری همسو با چین به اشتراک گذاشته شود.
این درهای پشتی برای انجام جاسوسی سایبری با جمع آوری داده های حساس از جمله جزئیات سیستم، اعتبارنامه ها و فایل ها طراحی شده اند. آنها همچنین دسترسی طولانی مدت به سیستم های هدفمند را حفظ می کنند و عملیات مخفیانه و جمع آوری اطلاعات طولانی مدت را ممکن می سازند.
دسترسی اولیه نامشخص و تکنیک های پیچیده
روش خاص مورد استفاده برای دستیابی به دسترسی اولیه نامشخص است. با این حال، گمان می رود که Gelsemium از یک آسیب پذیری برنامه وب وصله نشده برای نصب پوسته های وب استفاده کرده است، که سپس برای تحویل درب پشتی WolfsBane از طریق قطره چکان استفاده می شود.
WolfsBane از روت کیت متن باز اصلاح شده BEURK استفاده می کند تا فعالیت های خود را در سیستم های لینوکس در حین اجرای دستورات از یک سرور راه دور پنهان کند. به طور مشابه، FireWood از یک ماژول روت کیت در سطح هسته به نام usbdev.ko برای پنهان کردن فرآیندها و اجرای مخفیانه دستورات استفاده می کند.
اولین کمپین بدافزار لینوکس توسط Gelsemium
استفاده از WolfsBane و FireWood نشان دهنده اولین استقرار مستند نرم افزارهای مخرب مبتنی بر لینوکس توسط Gelsemium است که نشان دهنده تغییر در تمرکز آنهاست. این پیشرفت، سازگاری و علاقه گروه به گسترش دامنه عملیاتی خود را برجسته می کند.
تمرکز رو به رشد بر روی سیستم های لینوکس در چشم انداز APT
استفاده روزافزون از سیستم های لینوکس توسط عوامل تهدید مانند Gelsemium نشان دهنده روندهای گسترده تر در اکوسیستم APT است. از آنجایی که سازمان‌ها دفاع خود را با فناوری‌های شناسایی ایمیل و نقطه پایانی، از جمله غیرفعال کردن پیش‌فرض ماکروهای VBA توسط مایکروسافت و پذیرش فزاینده راه‌حل‌های تشخیص و پاسخ نقطه پایانی (EDR) تقویت می‌کنند، مهاجمان به سمت پلتفرم‌های جایگزین می‌روند.
هدف‌گیری استراتژیک محیط‌های لینوکس بر نیاز به رویکردهای امنیتی چندلایه و قوی که قادر به شناسایی و کاهش چنین تهدیدات پیشرفته‌ای هستند، تأکید می‌کند.
