Grupa Daggerfly APT

Powiązana z Pekinem, sponsorowana przez państwo grupa hakerska, znana jako Daggerfly, zaatakowała organizacje na Tajwanie i amerykańską organizację pozarządową (NGO) działającą w Chinach. W atakach tych wykorzystano ulepszony zestaw narzędzi złośliwego oprogramowania. Kampania ta wskazuje, że grupa prowadzi także szpiegostwo wewnętrzne. Podczas ataku na tę organizację pozarządową hakerzy wykorzystali lukę w serwerze Apache HTTP w celu wdrożenia szkodliwego oprogramowania MgBot .

Groźny arsenał grupy APT (Advanced Persistent Threat) Daggerfly

Daggerfly, znana również jako Bronze Highland i Evasive Panda, od 2012 roku wykorzystuje modułową platformę złośliwego oprogramowania MgBot do operacji gromadzenia danych wywiadowczych skierowanych przeciwko dostawcom usług telekomunikacyjnych w Afryce. Grupa potrafi szybko aktualizować swój zestaw narzędzi w odpowiedzi na wykrycie, co pozwala jej na kontynuować swoją działalność szpiegowską przy minimalnych zakłóceniach.

Najnowsze ataki obejmują nową rodzinę szkodliwego oprogramowania wywodzącą się z MgBot i ulepszoną wersję MACMA – złośliwego oprogramowania dla systemu macOS zidentyfikowanego po raz pierwszy w listopadzie 2021 r. MACMA był początkowo dystrybuowany za pomocą ataków watering hole wykorzystujących luki w zabezpieczeniach przeglądarki Safari i atakował użytkowników w Hongkongu.

Oznacza to pierwsze wyraźne połączenie MACMA z określoną grupą hakerską, ujawniające jej zdolność do gromadzenia poufnych informacji i wykonywania dowolnych poleceń. Dowody sugerują, że twórcy MACMA mogli ponownie wykorzystać kod od programistów ELF/Android, potencjalnie atakując również urządzenia z Androidem.

Powiązanie MACMA z Daggerfly jest dodatkowo wspierane przez nakładanie się kodu źródłowego z MgBot oraz fakt, że komunikuje się z serwerem Command-and-Control (C2) (103.243.212.98), używanym również przez dropper MgBot.

Dodatkowe zagrożenia złośliwym oprogramowaniem wykorzystywane przez Daggerfly

Kolejnym dodatkiem do arsenału grupy jest Nightdoor (znany również jako NetMM i Suzafk). Implant ten wykorzystuje interfejs Google Drive API for Command-and-Control (C2) i jest używany w atakach na wodopoje wymierzonych w użytkowników tybetańskich co najmniej od września 2023 r. Działanie to zostało po raz pierwszy udokumentowane w marcu.

Grupa wykazała zdolność do opracowywania wersji swoich narzędzi dla głównych systemów operacyjnych. Badacze zaobserwowali dowody na obecność trojanizowanych plików APK dla Androida, narzędzi do przechwytywania SMS-ów, narzędzi do przechwytywania żądań DNS oraz złośliwego oprogramowania atakującego system operacyjny Solaris.

Jak chronić swoje urządzenia przed zagrożeniami ze strony złośliwego oprogramowania?

Ochrona urządzeń przed zagrożeniami ze strony złośliwego oprogramowania wymaga wieloaspektowego podejścia, które łączy technologię, najlepsze praktyki i czujność użytkowników. Oto najlepsze środki, które użytkownicy powinni wdrożyć, aby zabezpieczyć swoje urządzenia:

• Instaluj i regularnie aktualizuj oprogramowanie chroniące przed złośliwym oprogramowaniem : używaj renomowanego oprogramowania zabezpieczającego do wykrywania i usuwania złośliwego oprogramowania, upewniając się, że jest ono zawsze tak aktualne, jak to możliwe, i chroni przed najnowszymi zagrożeniami. Dodatkowo włącz skanowanie w czasie rzeczywistym, aby monitorować pliki i pobierane pliki w trakcie ciągłego dostępu do nich.
• Aktualizuj systemy operacyjne i oprogramowanie : Włącz automatyczne aktualizacje systemu operacyjnego, przeglądarek i aplikacji, aby szybko otrzymywać najnowsze poprawki zabezpieczeń. Jeśli automatyczne aktualizacje nie są dostępne, regularnie sprawdzaj ich dostępność i instaluj ręcznie, aby zachować bezpieczeństwo.
• Używaj zapór sieciowych : Upewnij się, że wbudowana zapora sieciowa w systemie operacyjnym jest aktywna i blokuje nieautoryzowany dostęp. Aby uzyskać dodatkową ochronę, szczególnie w sieciach domowych lub firmowych, rozważ użycie zapory sprzętowej.
• Wyćwicz nawyki bezpiecznego przeglądania : Unikaj odwiedzania witryn, które wydają się niegodne zaufania lub zawierają wątpliwą treść. Pobieraj oprogramowanie z renomowanych i oficjalnych źródeł i unikaj klikania wyskakujących okienek lub reklam oferujących bezpłatne pobieranie, aby zminimalizować ryzyko pojawienia się złośliwego oprogramowania.
• Stosuj silne hasła i uwierzytelnianie dwuskładnikowe (2FA) : Zawsze używaj wystarczająco silnych haseł do różnych kont i regularnie je zmieniaj. Włącz 2FA, aby uzyskać kolejną warstwę zabezpieczeń, co utrudni potencjalnym hakerom uzyskanie dostępu.
• Zachowaj ostrożność w przypadku wiadomości e-mail i załączników : zachowaj czujność w przypadku wiadomości e-mail typu phishing, których celem jest nakłonienie Cię do ujawnienia danych osobowych lub pobrania złośliwego oprogramowania. Nie otwieraj załączników do wiadomości e-mail ani nie klikaj łączy z nieznanych lub podejrzanych źródeł.
• Regularnie twórz kopie zapasowe danych : regularnie twórz kopie zapasowe ważnych danych na zewnętrznym dysku twardym lub w usłudze w chmurze, aby mieć pewność, że będziesz mógł odzyskać informacje w przypadku ataku złośliwego oprogramowania. Okresowo upewnij się, że kopie zapasowe są kompletne i można je pomyślnie przywrócić.
• Używaj programów blokujących reklamy i narzędzi zapobiegających śledzeniu : zainstaluj programy blokujące reklamy, aby zmniejszyć ryzyko napotkania fałszywych reklam. Dodatkowo używaj rozszerzeń przeglądarki, które blokują skrypty śledzące, aby chronić dane przeglądania przed gromadzeniem.
• Zabezpiecz swoją sieć : Zmień wszystkie domyślne nazwy użytkowników i hasła na routerze i innych urządzeniach sieciowych. Użyj silnego szyfrowania (WPA3 lub WPA2) dla swojej sieci Wi-Fi i wyłącz WPS, aby zwiększyć bezpieczeństwo.
• Edukuj siebie i innych : bądź na bieżąco z najnowszymi zagrożeniami bezpieczeństwa i najlepszymi praktykami. Edukuj członków rodziny lub pracowników na temat bezpiecznych zachowań w Internecie i potencjalnych zagrożeń, aby wszyscy byli świadomi i czujni.

Integrując te środki na wszystkich urządzeniach, użytkownicy prawdopodobnie zmniejszą ryzyko infekcji złośliwym oprogramowaniem i znacznie poprawią ogólne bezpieczeństwo.