RShell Malware
Penjenayah siber China telah didedahkan untuk menggunakan versi bersenjata bagi aplikasi utusan sebagai cara untuk menggunakan ancaman pintu belakang bernama RShell. Ancaman pintu belakang mempunyai versi untuk sistem Linux dan macOS. Butiran tentang operasi serangan dan perisian hasad RShell telah dikeluarkan dalam laporan oleh penyelidik keselamatan. Menurut mereka, RShell adalah sebahagian daripada senjata ancaman kumpulan APT (Advanced Persistent Threat) yang dikesan sebagai APT27 , LuckyMouse, IronTiger dan Emissary Panda. Kumpulan jenayah siber tertentu ini telah aktif selama lebih sedekad dan tertumpu terutamanya pada operasi pengintipan siber.
Penggodam menggunakan versi trojan 'MìMì' ('mimi' - 秘秘 – 'rahsia') aplikasi pemesejan elektron yang diiklankan sebagai tersedia untuk platform Android, iOS, Windows dan macOS. Para penyelidik menemui versi Linux, juga menyampaikan perisian hasad RShell. Apabila versi macOS MiMi yang rosak diaktifkan, ia mula-mula menyemak sama ada persekitaran sepadan dengan parameter yang diperlukan - macOS (Darwin). Selepas itu, ia akan mengambil muatan RShell daripada pelayan Command-and-Control (C2, C&C), menulisnya pada folder temp, memberikannya kebenaran pelaksanaan dan akhirnya melaksanakannya.
Analisis RShell telah mendedahkan bahawa itu adalah ancaman pintu belakang yang dilengkapi dengan ciri tipikal yang dikaitkan dengan jenis perisian hasad ini. Sampel terawal yang ditemui oleh TrendMicro adalah dari Jun 2021. RShell dihantar dalam format Mach-O pada sistem macOS dan ELF pada platform Linux. Apabila diaktifkan pada peranti mangsa, ancaman akan mengumpul pelbagai maklumat sistem, termasuk nama komputer, alamat IP, nama pengguna, versi, dll. Semua data yang dituai akan dibungkus ke dalam mesej JSON binari dan dihantar ke pelayan C2 dalam bentuk yang tidak disulitkan TCP. Aktor ancaman APT boleh mengarahkan RShell untuk melaksanakan arahan dalam shell, membaca fail, menyenaraikan fail dan direktori dalam sistem fail akar, menulis data ke fail tertentu dan banyak lagi.
