Silver Fox APT
Stručnjaci za kibernetičku sigurnost otkrili su naprednu i rastuću phishing kampanju prvenstveno usmjerenu na korisnike na Tajvanu. Orkestrirana od strane skupine prijetnji identificirane kao Silver Fox APT, ova operacija koristi dokumente pune zlonamjernog softvera i obmanjujuće e-poruke za isporuku niza opasnih trojanaca za udaljeni pristup (RAT), uključujući HoldingHands RAT i Gh0stCringe, obje varijante zloglasnog Gh0st RAT-a .
Sadržaj
Phishing s poznatim licem: Lažno predstavljanje kao državna vlast
Napad započinje phishing e-porukama koje se lažno predstavljaju kao službeni subjekti poput tajvanskog Nacionalnog poreznog ureda. Ove e-poruke često uključuju teme vezane uz poreze, račune ili mirovine kako bi se iskoristilo povjerenje primatelja i potaknulo ih na otvaranje priloženih datoteka. U nekim varijacijama, ugrađene slike služe kao okidači za preuzimanje zlonamjernog softvera kada se klikne na njih, što predstavlja pomak od tradicionalnih mamaca temeljenih na dokumentima.
Oružani dokumenti: PDF-ovi i ZIP-ovi kao sredstva za dostavu zlonamjernog softvera
Primarni mehanizmi isporuke su zlonamjerni PDF dokumenti ili ZIP arhive priložene phishing e-porukama. Ove datoteke sadrže poveznice koje preusmjeravaju korisnike na stranice za preuzimanje ZIP datoteka zapakiranih sa:
- Izvršne datoteke koje izgledaju legitimno
- Učitavači shellcode-a
- Šifrirani shellcode
Kada se izvrše, ove komponente rade zajedno kako bi implementirale zlonamjerni softver bez aktiviranja alarma.
Višestupanjski lanac infekcije: Obmana u slojevima
Infekcija se odvija u nekoliko sofisticiranih faza:
Aktivacija programa za učitavanje shellcodea : Program za učitavanje shellcodea dešifrira i inicira ugrađeni shellcode.
Bočno učitavanje DLL-a : Legitimne binarne datoteke se zloupotrebljavaju za bočno učitavanje zlonamjernih DLL datoteka, skrivajući zlonamjerni softver na vidiku.
Anti-VM i eskalacija privilegija : Ove tehnike osiguravaju da zlonamjerni softver izbjegne otkrivanje u sandbox okruženjima i osigurava povišene sistemske privilegije.
Nosivost i namjena: Špijunaža i kontrola
Konačni korisni teret uključuje datoteku pod nazivom 'msgDb.dat', koja djeluje kao primarni modul za upravljanje i kontrolu (C2). Nakon što je aktivna, ona:
- Prikuplja osjetljive korisničke podatke
- Preuzima dodatne komponente
- Omogućuje upravljanje udaljenom radnom površinom
- Upravlja datotekama na zaraženom sustavu
Ove mogućnosti sugeriraju namjeru održavanja dugoročnog pristupa i nadzora nad kompromitiranim računalima.
Razvoj taktika: Dosljedna inovacija tvrtke Silver Fox APT
Silver Fox APT kontinuirano usavršava svoj skup alata i tehnike napada, što se vidi iz korištenja:
- Winos 4.0 okvir
- Širenje Gh0stCringea putem HTM stranica za preuzimanje
- HoldingHands RAT (također poznat kao Gh0stBins)
Oslanjanje grupe na složeni shellcode, slojevite učitavače i različite vektore isporuke pokazuje uporan napor da se izbjegne otkrivanje i maksimizira uspjeh infiltracije.
Zaključak: Budnost je ključna protiv sofisticiranih prijetnji
Ova kampanja ističe sve veću sofisticiranost APT grupa poput Silver Foxa. Korištenjem pouzdanih tema, varljivih formata datoteka i prikrivenih tehnika izvršavanja, ovi akteri predstavljaju ozbiljnu prijetnju ciljanim organizacijama. Kontinuirano praćenje, pravovremeno ažuriranje zakrpa i robusna sigurnost e-pošte ključne su obrane od takvih prijetnji koje se stalno razvijaju.
