DarkNimbus stražnja vrata
Prethodno neidentificirana prijetnja skupina, sada označena Minotaur Zemlje, pojavila se kao značajan igrač u cyber nadzoru. Koristeći sofisticirane alate kao što je MOONSHINE exploit kit i novootkriveni backdoor nazvan DarkNimbus, Earth Minotaur je pokazao svoju sposobnost ciljanja i Android i Windows uređaja u proračunatom pokušaju da se infiltrira i nadzire tibetanske i ujgurske zajednice.
Sadržaj
MOONSHINE Exploit Kit: pristupnik za prijetnje s više platformi
Središnje mjesto u operacijama Earth Minotaura je komplet za iskorištavanje MOONSHINE. Izvorno dokumentiran 2019. tijekom kibernetičkih napada na tibetanske mete, MOONSHINE iskorištava ranjivosti u preglednicima i aplikacijama temeljenim na Chromiumu kako bi isporučio svoje opterećenje. Od tada se razvio, uključivši dodatne ranjivosti kao što je CVE-2020-6418, greška u V8 JavaScript motoru koju je Google zakrpao početkom 2020.
Komplet za iskorištavanje je izrazito svestran. Cilja aplikacije kao što su Google Chrome, WeChat, QQ i LINE i dizajniran je za infiltraciju u uređaje žrtava putem oštećenih veza. Te su poveznice često maskirane kao benigni sadržaj, kao što su najave ili multimedija vezani uz tibetanske i ujgurske zajednice, kako bi se povećala učinkovitost taktika društvenog inženjeringa.
DarkNimbus: Svestran i nametljiv backdoor
Jednom kada MOONSHINE dobije pristup uređaju, isporučuje DarkNimbus backdoor, alat posebno dizajniran za dugotrajni nadzor.
DarkNimbus na Androidu
Android varijanta DarkNimbusa je iznimno nametljiva, koristi XMPP protokol za komunikaciju sa svojim operaterima. Opremljen je za eksfiltraciju osjetljivih podataka, uključujući:
- Metapodaci uređaja
- Geolokacijski podaci
- Povijest poziva
- Kontakti i poruke
- Oznake preglednika i sadržaj međuspremnika
DarkNimbus također iskorištava Androidove usluge pristupačnosti za presretanje poruka iz popularnih komunikacijskih aplikacija kao što su WhatsApp, WeChat i Skype. Osim toga, može izvršavati naredbe ljuske, snimati pozive, snimati snimke zaslona i čak se deinstalirati kako bi izbjegao otkrivanje.
DarkNimbus na Windowsima
Iako manje bogata značajkama, verzija za Windows ostaje moćan alat za krađu podataka. Aktivan od kraja 2020., može uhvatiti informacije o sustavu, pritiske tipki, podatke međuspremnika, spremljene vjerodajnice i povijest preglednika.
Društveni inženjering i lanci iskorištavanja: Anatomija napada
Zemaljski minotaur uvelike se oslanja na društveni inženjering kako bi namamio žrtve u svoju zamku. Prijeteći linkovi ugrađeni u aplikacije za izravnu razmjenu poruka preusmjeravaju žrtve na jedan od preko 55 MOONSHINE poslužitelja za iskorištavanje. Ovi poslužitelji primjenjuju različite strategije na temelju žrtvinog uređaja i konfiguracije preglednika:
- Izvršenje iskorištavanja : Ako se identificiraju ranjivosti, poslužitelj instalira backdoor DarkNimbus.
- Preusmjeravanje krađe identiteta : Ako iskorištavanje ne uspije, žrtve mogu naići na stranice za krađu identiteta koje ih pozivaju da ažuriraju svoje preglednike, što može dovesti do daljnjih kompromisa.
U nekim slučajevima, napad uključuje degradaciju tražilice preglednika unutar aplikacija kao što je WeChat, zamjenjujući je trojaniziranom verzijom koja olakšava trajni pristup.
Globalni doseg Zemljinog Minotaura
Djelovanje grupe nije geografski ograničeno. Žrtve su identificirane u 18 zemalja, uključujući SAD, Kanadu, Indiju, Njemačku i Tajvan, naglašavajući globalni opseg njezinih operacija.
Dok je MOONSHINE povezan s drugim prijetnjama kao što su POISON CARP i Earth Empusa, Earth Minotaur djeluje neovisno. Fokus grupe na tibetanske i ujgurske zajednice u skladu je sa sličnim kampanjama protivnika kao što su Evasive Panda i Scarlet Mimic. Međutim, Earth Minotaur ističe se svojom upotrebom vrlo prilagodljivih alata i sofisticiranih lanaca infekcije.
Tekuća evolucija MOONSHINE-a
MOONSHINE ostaje alat koji se aktivno razvija i dijele ga različiti prijetnje, uključujući UNC5221 i Earth Minotaur. Njegovo kontinuirano usavršavanje naglašava upornost protivnika koji ciljaju na ranjive zajednice.
Završne misli: Prepoznavanje i ublažavanje prijetnje
Zemaljski minotaur primjer je rastuće složenosti ciljanih kibernetičkih napada. Korisnicima se savjetuje da održavaju ažurirani softver, budu oprezni s neželjenim poveznicama i budu oprezni protiv pokušaja krađe identiteta. Dok akteri prijetnji usavršavaju svoje taktike, proaktivne mjere kibernetičke sigurnosti ostaju prva linija obrane protiv rastućih prijetnji poput Zemljinog Minotaura.
