DarkNimbus-takaovi

Aiemmin tunnistamaton uhkaryhmä, nyt nimeltään Earth Minotaur, on noussut esiin merkittävänä toimijana kybervalvonnassa. Käyttämällä kehittyneitä työkaluja, kuten MOONSHINE-hyötysarjaa ja äskettäin tunnistettua DarkNimbus-takaovea, Earth Minotaur on osoittanut kykynsä kohdistaa sekä Android- että Windows-laitteisiin.

MOONSHINE Exploit Kit: portti alustojen välisille uhille

Maa Minotauruksen toiminnan keskeinen osa on MOONSHINE-hyötypaketti. Alun perin vuonna 2019 tiibetiläisiin kohteisiin kohdistuneiden kyberhyökkäysten yhteydessä dokumentoitu MOONSHINE hyödyntää Chromium-pohjaisten selainten ja sovellusten haavoittuvuuksia toimittaakseen hyötykuormia. Se on sittemmin kehittynyt sisältäen lisähaavoittuvuuksia, kuten CVE-2020-6418:n, virheen V8 JavaScript -moottorissa, jonka Google korjasi vuoden 2020 alussa.

Exploit Kit on huomattavan monipuolinen. Se on kohdistettu sovelluksiin, kuten Google Chrome, WeChat, QQ ja LINE, ja se on suunniteltu tunkeutumaan uhrien laitteisiin vioittuneiden linkkien kautta. Nämä linkit on usein naamioitu hyvänlaatuiseksi sisällöksi, kuten tiibetiläisiin ja uiguuriin liittyviin ilmoituksiin tai multimediaan, jotta voidaan maksimoida sosiaalisen manipulointitaktiikkojen tehokkuus.

DarkNimbus: Monipuolinen ja tunkeileva takaovi

Kun MOONSHINE pääsee käsiksi laitteeseen, se toimittaa DarkNimbus-takaoven, työkalun, joka on erityisesti suunniteltu pitkäaikaiseen valvontaan.

DarkNimbus Androidissa

DarkNimbusin Android-versio on poikkeuksellisen häiritsevä, ja se hyödyntää XMPP-protokollaa kommunikoidakseen operaattoreidensa kanssa. Se on varustettu arkaluontoisten tietojen, mukaan lukien:

• Laitteen metatiedot
• Maantieteellinen sijaintitiedot
• Puheluhistoria
• Yhteystiedot ja viestit
• Selaimen kirjanmerkit ja leikepöydän sisältö

DarkNimbus hyödyntää myös Androidin esteettömyyspalveluita siepatakseen viestejä suosituista viestintäsovelluksista, kuten WhatsApp, WeChat ja Skype. Lisäksi se voi suorittaa komentotulkkikomentoja, nauhoittaa puheluita, kaapata kuvakaappauksia ja jopa poistaa itsensä tunnistamisen välttämiseksi.

DarkNimbus Windowsissa

Vaikka Windows-versio on vähemmän monipuolinen, se on edelleen tehokas työkalu tietojen suodattamiseen. Se on ollut käytössä vuoden 2020 lopusta lähtien, ja se voi tallentaa järjestelmätietoja, näppäinpainalluksia, leikepöydän tietoja, tallennettuja tunnistetietoja ja selainhistoriaa.

Sosiaalinen suunnittelu ja hyväksikäyttöketjut: hyökkäyksen anatomia

Maan Minotaurus luottaa vahvasti sosiaaliseen suunnitteluun houkutellakseen uhreja ansaan. Pikaviestintäsovelluksiin upotetut uhkaavat linkit ohjaavat uhrit jollekin yli 55 MOONSHINE-hyödyntäpalvelimesta. Nämä palvelimet käyttävät erilaisia strategioita uhrin laitteen ja selaimen kokoonpanon perusteella:

• Exploit Execution : Jos haavoittuvuuksia havaitaan, palvelin asentaa DarkNimbus-takaoven.
• Tietojenkalastelun uudelleenohjaus : Jos hyväksikäytöt epäonnistuvat, uhrit voivat kohdata tietojenkalastelusivuja, jotka kehottavat heitä päivittämään selaimensa, mikä voi johtaa uusiin kompromisseihin.

Joissakin tapauksissa hyökkäys tarkoittaa selainmoottorin alentamista sovelluksissa, kuten WeChat, ja sen korvaaminen troijalaisversiolla, joka helpottaa jatkuvaa käyttöä.

Maan Minotauroksen maailmanlaajuinen kattavuus

Ryhmän toimintaa ei ole maantieteellisesti rajoitettu. Uhreja on tunnistettu 18 maassa, mukaan lukien Yhdysvallat, Kanada, Intia, Saksa ja Taiwan, mikä korostaa sen toiminnan maailmanlaajuista laajuutta.

Vaikka MOONSHINE on yhdistetty muihin uhkaryhmiin, kuten POISON CARP ja Earth Empusa, Earth Minotaur toimii itsenäisesti. Ryhmän keskittyminen tiibetiläisiin ja uiguuriyhteisöihin on linjassa sellaisten vastustajien, kuten Evasive Panda ja Scarlet Mimic, vastaavien kampanjoiden kanssa. Earth Minotaur erottuu kuitenkin erittäin mukautuvien työkalujen ja kehittyneiden infektioketjujen käytöstä.

MOONSHINE:n jatkuva kehitys

MOONSHINE on edelleen aktiivisesti kehitetty työkalupakki, ja se on jaettu useiden uhkatoimijoiden kesken, mukaan lukien UNC5221 ja Earth Minotaur. Sen jatkuva jalostaminen korostaa haavoittuviin yhteisöihin kohdistuvien vastustajien sinnikkyyttä.

Viimeiset ajatukset: uhan tunnistaminen ja lieventäminen

Maan Minotauros on esimerkki kohdistettujen kyberhyökkäysten kasvavasta monimutkaisuudesta. Käyttäjiä kehotetaan ylläpitämään päivitettyjä ohjelmistoja, olemaan varovaisia ei-toivottujen linkkien kanssa ja pysymään valppaina tietojenkalasteluyrityksiä vastaan. Kun uhkatoimijat tarkentavat taktiikkaansa, ennakoivat kyberturvallisuustoimenpiteet ovat edelleen ensimmäinen puolustuslinja kehittyviä uhkia, kuten Maan Minotauruksen, vastaan.