Silver Fox APT
Strokovnjaki za kibernetsko varnost so odkrili napredno in razvijajočo se phishing kampanjo, ki je usmerjena predvsem na uporabnike na Tajvanu. Operacija, ki jo vodi skupina za grožnje, imenovana Silver Fox APT, uporablja dokumente, polne zlonamerne programske opreme, in zavajajoča e-poštna sporočila za dostavo vrste nevarnih trojanskih konjev za oddaljeni dostop (RAT), vključno s HoldingHands RAT in Gh0stCringe, obema različicama zloglasnega Gh0st RAT .
Kazalo
Lažno predstavljanje z znanim obrazom: lažno predstavljanje vladnih organov
Napad se začne z lažnimi e-poštnimi sporočili, ki se izdajajo za uradne subjekte, kot je tajvanski Nacionalni davčni urad. Ta e-poštna sporočila pogosto vključujejo teme, povezane z davki, računi ali pokojninami, da bi izkoristili zaupanje prejemnikov in jih spodbudili k odpiranju priloženih datotek. V nekaterih različicah vdelane slike služijo kot sprožilci za prenos zlonamerne programske opreme ob kliku, kar predstavlja premik od tradicionalnih vab, ki temeljijo na dokumentih.
Orožni dokumenti: PDF-ji in ZIP-ji kot nosilci zlonamerne programske opreme
Primarni mehanizmi dostave so zlonamerni dokumenti PDF ali arhivi ZIP, priloženi lažnim e-poštnim sporočilom. Te datoteke vsebujejo povezave, ki uporabnike preusmerjajo na strani za prenos, kjer so datoteke ZIP, polne:
- Izvedljive datoteke, ki so videti legitimne
- Nalagalniki shellcode
- Šifrirana lupinska koda
Ko se izvajajo, te komponente delujejo skupaj, da namestijo zlonamerno programsko opremo, ne da bi sprožile alarme.
Večstopenjska veriga okužbe: Prevara v plasteh
Okužba se razvija v več zapletenih fazah:
Aktivacija nalagalnika shellcode : Nalagalnik shellcode dešifrira in zažene vdelano shellcode.
Stransko nalaganje DLL : Za stransko nalaganje zlonamernih datotek DLL se zlorabljajo legitimne binarne datoteke, s čimer se zlonamerna programska oprema skrije na vidnem mestu.
Anti-VM in eskalacija privilegijev : Te tehnike zagotavljajo, da se zlonamerna programska oprema izogne zaznavanju v peskovnikih in si zagotovi povišane sistemske privilegije.
Nosilnost in namen: vohunjenje in nadzor
Končni koristni tovor vključuje datoteko z imenom »msgDb.dat«, ki deluje kot primarni modul za upravljanje in nadzor (C2). Ko je aktiven,:
- Zbira občutljive uporabniške podatke
- Prenosi dodatnih komponent
- Omogoča upravljanje oddaljenega namizja
- Upravlja datoteke na okuženem sistemu
Te zmogljivosti kažejo na namen ohranjanja dolgoročnega dostopa in nadzora nad ogroženimi stroji.
Razvoj taktik: Dosledne inovacije, ki jih je ustvaril Silver Fox APT
Silver Fox APT nenehno izpopolnjuje svoj nabor orodij in tehnike napadov, kar se kaže v uporabi:
- Okvir Winos 4.0
- Širjenje Gh0stCringe prek strani za prenos HTM
- HoldingHands RAT (znan tudi kot Gh0stBins)
Zanašanje skupine na kompleksno shellcode, večplastne nalagalnike in različne vektorje dostave kaže na vztrajno prizadevanje za izogibanje odkrivanju in maksimiranje uspeha infiltracije.
Zaključek: Budnost je ključnega pomena proti prefinjenim akterjem groženj
Ta kampanja poudarja vse večjo prefinjenost skupin APT, kot je Silver Fox. Z uporabo zaupanja vrednih tem, zavajajočih formatov datotek in prikritih tehnik izvajanja ti akterji predstavljajo resno grožnjo za ciljne organizacije. Stalno spremljanje, pravočasno posodabljanje popravkov in robustna varnost e-pošte so ključne obrambe pred tako razvijajočimi se grožnjami.
