DarkNimbus Backdoor
Претходно неидентификована група претњи, сада означена као Земаљски Минотаур, појавила се као значајан играч у сајбер надзору. Користећи софистициране алате као што је комплет за експлоатацију МООНСХИНЕ и новоидентификована позадинска врата под називом ДаркНимбус, Еартх Минотаур је показао своју способност да циља и Андроид и Виндовс уређаје у прорачунатом настојању да се инфилтрира и надгледа тибетанску и ујгурску заједницу.
Преглед садржаја
Комплет за експлоатацију МООНСХИНЕ: капија за вишеплатформске претње
Централни део операција Минотаура Земље је комплет за експлоатацију МООНСХИНЕ. Првобитно документован 2019. током сајбер напада на тибетанске мете, МООНСХИНЕ искоришћава рањивости у прегледачима и апликацијама заснованим на Цхромиум-у да би испоручио своје корисно оптерећење. Од тада је еволуирао, укључујући додатне рањивости као што је ЦВЕ-2020-6418, недостатак у В8 ЈаваСцрипт мотору који је Гоогле закрпио почетком 2020.
Комплет за експлоатацију је посебно свестран. Циљано је на апликације као што су Гоогле Цхроме, ВеЦхат, КК и ЛИНЕ и дизајниран је да инфилтрира уређаје жртава преко оштећених веза. Ове везе су често прикривене као бенигни садржај, као што су најаве или мултимедија у вези са тибетанском и ујгурском заједницом, како би се максимизирала ефикасност тактике социјалног инжењеринга.
ДаркНимбус: Свестран и наметљив бацкдоор
Једном када МООНСХИНЕ добије приступ уређају, испоручује ДаркНимбус бацкдоор, алат који је посебно пројектован за дуготрајно надгледање.
ДаркНимбус на Андроиду
Андроид варијанта ДаркНимбус-а је изузетно наметљива и користи КСМПП протокол за комуникацију са својим оператерима. Опремљен је за ексфилтрирање осетљивих података, укључујући:
- Метаподаци уређаја
- Подаци о геолокацији
- Историја позива
- Контакти и поруке
- Обележивачи претраживача и садржај клипборда
ДаркНимбус такође користи Андроид-ове услуге приступачности за пресретање порука из популарних комуникационих апликација као што су ВхатсАпп, ВеЦхат и Скипе. Поред тога, може да извршава команде љуске, снима позиве, снима снимке екрана, па чак и да се деинсталира да би избегао откривање.
ДаркНимбус на Виндовс-у
Иако мање богата функцијама, верзија за Виндовс остаје моћан алат за ексфилтрацију података. Активан од краја 2020. године, може да снима системске информације, притиске на тастере, податке међуспремника, сачуване акредитиве и историју прегледача.
Друштвени инжењеринг и ланци експлоатације: Анатомија напада
Земаљски Минотаур се у великој мери ослања на друштвени инжењеринг како би намамио жртве у своју замку. Претеће везе уграђене у апликације за размену тренутних порука преусмеравају жртве на један од преко 55 сервера за експлоатацију МООНСХИНЕ. Ови сервери примењују различите стратегије засноване на уређају жртве и конфигурацији претраживача:
- Екплоит Екецутион : Ако се идентификују рањивости, сервер инсталира ДаркНимбус бацкдоор.
- Преусмеравање пхисхинг-а : Ако експлоатације не успеју, жртве могу наићи на пхисхинг странице које их подстичу да ажурирају своје прегледаче, што може довести до даљих компромиса.
У неким случајевима, напад укључује деградацију мотора претраживача у оквиру апликација као што је ВеЦхат, замењујући га тројанизованом верзијом која олакшава упоран приступ.
Глобални домет Земљиног Минотаура
Активности групе нису географски ограничене. Жртве су идентификоване у 18 земаља, укључујући САД, Канаду, Индију, Немачку и Тајван, наглашавајући глобални обим њених операција.
Док је МООНСХИНЕ повезан са другим групама претњи као што су ПОИСОН ЦАРП и Еартх Емпуса, Еартх Минотаур функционише независно. Фокус групе на тибетанску и ујгурску заједницу је у складу са сличним кампањама противника као што су Евасиве Панда и Сцарлет Мимиц. Међутим, Еартх Минотаур се истиче по употреби веома прилагодљивих алата и софистицираних ланаца инфекције.
Текућа еволуција МООНСХИНЕ-а
МООНСХИНЕ остаје алат који се активно развија и деле га различити актери претњи, укључујући УНЦ5221 и Земаљски Минотаур. Његово континуирано усавршавање наглашава упорност противника који циља на рањиве заједнице.
Завршне мисли: Препознавање и ублажавање претње
Земаљски Минотаур је пример растуће сложености циљаних сајбер напада. Корисници се позивају да одржавају ажурирани софтвер, буду опрезни са нежељеним везама и буду опрезни против покушаја крађе идентитета. Како актери претњи усавршавају своју тактику, проактивне мере сајбер безбедности остају прва линија одбране од претњи које се развијају као што је Минотаур на Земљи.
