תוכנה זדונית של ROAMINGMOUSE
גורם איום מדינתי המכונה MirrorFace נקשר לאחרונה לקמפיינים של ריגול סייבר המכוונים נגד סוכנויות ממשלתיות ומוסדות ציבור ביפן ובטייוואן. גורם זה, המקושר לסין ומוכר גם בשם Earth Kasha, פועל כתת-אשכול בתוך APT10 . נכון למרץ 2025, חוקרי אבטחה חשפו פרטים חדשים על פעילות הקבוצה, כולל השימוש שלהם בכלי תוכנות זדוניות מתקדמים לריגול.
תוכן העניינים
מבצע אקאי ריו: נחשפה התקפה קודמת
בנוסף לפעילות המתמשכת ביפן ובטייוואן, Earth Kasha עמדה גם מאחורי מבצע AkaiRyū, מתקפת סייבר שכוונה נגד ארגון דיפלומטי באיחוד האירופי באוגוסט 2024. מבצע זה כלל פריסת דלת אחורית מסוג ANEL, המכונה גם UPPERCUT, מה שהדגיש את הטקטיקות המתוחכמות של הגורם להשגת גישה בלתי מורשית למטרות רגישות.
אסטרטגיית התקפה: שרשרת מטעה של תוכנות זדוניות
פעולת MirrorFace מתחילה במיילים מסוג "פישינג", חלקם נשלחים מחשבונות לגיטימיים שנפרצו. מיילים אלה מכילים כתובת URL פגומה ב-Microsoft OneDrive, אשר לאחר לחיצה עליה מורידה קובץ ZIP. בתוך ארכיון ה-ZIP, מסמך Excel וקובץ מוריד תוכנה זדונית המאפשר מאקרו בשם ROAMINGMOUSE משמשים ככלי משלוח עבור התוכנה הזדונית. ROAMINGMOUSE, בשימוש MirrorFace מאז השנה שעברה, מפענח ומוריד קובץ ZIP נוסף, המכיל מספר רכיבים זדוניים.
רכיבים מרכזיים של ירידת תוכנות זדוניות:
- JSLNTOOL.exe, JSTIEE.exe, או JSVWMNG.exe: קבצים בינאריים לגיטימיים
- JSFC.dll (ANELLDR): קובץ DLL זדוני
- מטען ANEL מוצפן: הדלת האחורית הראשית
- MSVCR100.dll: תלות DLL לגיטימית
לאחר ההסרה, הנוזקה משתמשת ב-explorer.exe כדי להפעיל קובץ הרצה לגיטימי, תוך טעינה צדדית של הדלת האחורית של ANEL דרך קובץ ה-DLL ההונאה, ANELLDR.
תכונות משופרות ב-ANEL: עידן חדש של ריגול קיברנטי
הדלת האחורית של ANEL ששימשה בקמפיין 2025 כוללת שדרוג משמעותי: פקודה חדשה התומכת בביצוע קבצי אובייקטים של Beacon (BOFs) בזיכרון. קבצי BOF הם תוכנות C קטנות שנועדו להרחיב את יכולות סוכן Cobalt Strike , ולשפר את תכונות הניצול לאחר הניצול. לאחר ההתקנה, הדלת האחורית מאפשרת ל-Earth Kasha לצלם צילומי מסך, לבחון את סביבת הקורבן ולאסוף רשימות תהליכים ומידע על דומיינים לצורך ניצול נוסף.
מינוף SharpHide ו-NOOPDOOR
במקרים מסוימים, גורמי האיום מאחורי Earth Kasha השתמשו ב-SharpHide, כלי קוד פתוח, כדי להשיק גרסה חדשה של הדלת האחורית NOOPDOOR (הידועה גם בשם HiddenFace). דלת אחורית זו תוכננה להתחמק מגילוי על ידי תמיכה ב-DNS-over-HTTPS (DoH), המסייע להסתיר את חיפושי כתובות ה-IP המשמשים לתקשורת פיקוד ובקרה (C2).
נדרשים איום מתמשך וערנות
Earth Kasha נותר איום פעיל ומתמשך המכוון לנכסים בעלי ערך גבוה, כולל נתונים ממשלתיים רגישים, קניין רוחני ופרטי גישה. ארגונים וארגונים, במיוחד אלו במגזרים הקשורים לממשל ותשתיות, חייבים להמשיך ליישם אמצעי אבטחת סייבר חזקים כדי להתגונן מפני התקפות מתקדמות ומתמשכות כאלה.
