DKnife AitM ఫ్రేమ్వర్క్
సైబర్ సెక్యూరిటీ పరిశోధకులు DKnife అని పిలువబడే అధునాతన గేట్వే-మానిటరింగ్ మరియు వ్యతిరేకి-మధ్య (AitM) ఫ్రేమ్వర్క్ను వెల్లడించారు, ఇది చైనా-నెక్సస్ బెదిరింపు నటులకు ఆపాదించబడింది మరియు కనీసం 2019 నుండి చురుకుగా ఉంది. ఈ ఫ్రేమ్వర్క్ నెట్వర్క్ అంచున పనిచేయడానికి ఉద్దేశించబడింది, రాజీపడిన రౌటర్లు మరియు అంచు పరికరాల ద్వారా రహస్య ట్రాఫిక్ తనిఖీ, మానిప్యులేషన్ మరియు మాల్వేర్ డెలివరీని అనుమతిస్తుంది.
విషయ సూచిక
చైనీస్ మాట్లాడే వినియోగదారులను వ్యూహాత్మకంగా లక్ష్యంగా చేసుకోవడం
DKnife ప్రధానంగా చైనీస్ మాట్లాడే వినియోగదారులను లక్ష్యంగా చేసుకున్నట్లు కనిపిస్తోంది. ఈ అంచనాకు చైనీస్ ఇమెయిల్ ప్రొవైడర్ల కోసం రూపొందించిన ఫిషింగ్ పేజీలు, WeChat వంటి విస్తృతంగా ఉపయోగించే చైనీస్ మొబైల్ అప్లికేషన్లపై దృష్టి సారించిన డేటా ఎక్స్ఫిల్ట్రేషన్ మాడ్యూల్స్ మరియు సోర్స్ కోడ్లోని చైనీస్ మీడియా డొమైన్లకు హార్డ్-కోడెడ్ రిఫరెన్స్లు వంటి బహుళ సూచికలు మద్దతు ఇస్తున్నాయి. అయితే, ఈ ముగింపు ఒకే కమాండ్-అండ్-కంట్రోల్ (C2) సర్వర్ నుండి తిరిగి పొందిన కాన్ఫిగరేషన్ ఫైల్లపై ఆధారపడి ఉంటుందని, ఇతర ప్రాంతాలకు అనుగుణంగా సమాంతర మౌలిక సదుపాయాల అవకాశాన్ని తెరిచి ఉంచుతుందని పరిశోధకులు హెచ్చరిస్తున్నారు.
విస్తృత చైనా-సమ్మేళన ముప్పు కార్యకలాపాలతో సంబంధాలు
MOONSHINE దోపిడీ కిట్ మరియు డార్క్ నింబస్ (డార్క్ నైట్స్ అని కూడా పిలుస్తారు) బ్యాక్డోర్తో సంబంధం కలిగి ఉన్న ఎర్త్ మినోటార్గా ట్రాక్ చేయబడిన విస్తృత చైనీస్ ముప్పు క్లస్టర్ దర్యాప్తులో ఈ ఫ్రేమ్వర్క్ బయటపడింది. ముఖ్యంగా, డార్క్ నింబస్ను ది విజార్డ్స్ అని పిలువబడే మరొక చైనా-సమలేఖన అధునాతన నిరంతర ముప్పు సమూహం కూడా మోహరించింది.
మౌలిక సదుపాయాల విశ్లేషణ DKnife మరియు WizardNet మధ్య అతివ్యాప్తులను వెల్లడించింది, ఇది TheWizards ఉపయోగించే Windows ఇంప్లాంట్ మరియు Spellbinder అనే AitM ఫ్రేమ్వర్క్ ద్వారా పంపిణీ చేయబడింది, ఇది ఏప్రిల్ 2025లో బహిరంగంగా డాక్యుమెంట్ చేయబడింది. TheWizards కంబోడియా, హాంకాంగ్, మెయిన్ల్యాండ్ చైనా, ఫిలిప్పీన్స్ మరియు యునైటెడ్ అరబ్ ఎమిరేట్స్ అంతటా వ్యక్తులు మరియు జూదం సంబంధిత సంస్థలను లక్ష్యంగా చేసుకున్నట్లు తెలిసినందున ఈ కనెక్షన్లు ముఖ్యమైనవి.
లైనక్స్-ఫోకస్డ్, మాడ్యులర్ ఆర్కిటెక్చర్
విజార్డ్నెట్ మాదిరిగా కాకుండా, DKnife ప్రత్యేకంగా Linux-ఆధారిత వాతావరణాల కోసం రూపొందించబడింది, ఇది రౌటర్లు మరియు అంచు పరికరాల్లో విస్తరణకు బాగా సరిపోతుంది. ఫ్రేమ్వర్క్ ELF డౌన్లోడ్ ద్వారా పంపిణీ చేయబడుతుంది మరియు ఆపరేటర్లు ప్యాకెట్ ఫార్వార్డింగ్ నుండి పూర్తి ట్రాఫిక్ ఇంటర్సెప్షన్ మరియు మానిప్యులేషన్ వరకు సామర్థ్యాలను ఎంపిక చేసుకోవడానికి అనుమతించే మాడ్యులర్ డిజైన్ను ఉపయోగిస్తుంది.
DKnife ఫ్రేమ్వర్క్ భాగాలు
- dknife.bin – డీప్ ప్యాకెట్ తనిఖీ, వినియోగదారు కార్యాచరణ పర్యవేక్షణ, DNS హైజాకింగ్ మరియు బైనరీ డౌన్లోడ్ హైజాకింగ్కు బాధ్యత వహించే కోర్ మాడ్యూల్
- postapi.bin – DKnife నుండి సేకరించిన డేటాను స్వీకరించి రిమోట్ C2 సర్వర్లకు ఫార్వార్డ్ చేసే రిపోర్టింగ్ రిలే
- sslmm.bin – TLS ముగింపు, ఇమెయిల్ డిక్రిప్షన్ మరియు URL దారి మళ్లింపు కోసం ఉపయోగించే సవరించిన HAProxy రివర్స్ ప్రాక్సీ
ఇన్లైన్ డిక్రిప్షన్ ద్వారా ఆధారాల సేకరణ
DKnife లో క్రెడెన్షియల్ దొంగతనం కోసం ప్రత్యేక కార్యాచరణ ఉంది, ముఖ్యంగా ఒక ప్రధాన చైనీస్ ఇమెయిల్ ప్రొవైడర్ను లక్ష్యంగా చేసుకుంటుంది. sslmm.bin మాడ్యూల్ దాడి చేసేవారి-నియంత్రిత TLS సర్టిఫికెట్లను క్లయింట్లకు అందిస్తుంది, POP3 మరియు IMAP కనెక్షన్లను రద్దు చేస్తుంది మరియు డీక్రిప్ట్ చేస్తుంది మరియు వినియోగదారు పేర్లు మరియు పాస్వర్డ్లను సంగ్రహించడానికి ఫలిత సాదా టెక్స్ట్ ట్రాఫిక్ను తనిఖీ చేస్తుంది. హార్వెస్ట్ చేయబడిన ఆధారాలు తదనుగుణంగా లేబుల్ చేయబడతాయి, postapi.binకి పంపబడతాయి మరియు సేకరణ మరియు విశ్లేషణ కోసం రిమోట్ C2 సర్వర్లకు ప్రసారం చేయబడతాయి.
దాడిని ప్రారంభించే వ్యక్తిగా డీప్ ప్యాకెట్ తనిఖీ
ఈ ఫ్రేమ్వర్క్ యొక్క గుండె వద్ద dknife.bin ఉంది, ఇది విస్తృతమైన లోతైన ప్యాకెట్ తనిఖీ మరియు నిజ-సమయ ట్రాఫిక్ విశ్లేషణను అనుమతిస్తుంది. ఈ సామర్థ్యం ఆపరేటర్లను నిష్క్రియాత్మక పర్యవేక్షణ మరియు క్రియాశీల ఇన్-లైన్ దాడుల మధ్య సజావుగా పరివర్తన చెందడానికి అనుమతిస్తుంది, వీటిలో చట్టబద్ధమైన సాఫ్ట్వేర్ డౌన్లోడ్లను హానికరమైన పేలోడ్లతో భర్తీ చేయడం కూడా ఉంటుంది.
కీలక కార్యాచరణ సామర్థ్యాలు
- డార్క్ నింబస్ మాల్వేర్ యొక్క ఆండ్రాయిడ్ మరియు విండోస్ వేరియంట్లకు నవీకరించబడిన C2 కాన్ఫిగరేషన్ల పంపిణీ
- JD.com-సంబంధిత డొమైన్లతో అనుబంధించబడిన ట్రాఫిక్ను దారి మళ్లించడానికి IPv4 మరియు IPv6 రెండింటిపై DNS-ఆధారిత హైజాకింగ్.
- చైనీస్ వార్తలు, స్ట్రీమింగ్ మీడియా, ఇమేజ్ ఎడిటింగ్, ఇ-కామర్స్, రైడ్-హెయిలింగ్, గేమింగ్ మరియు అడల్ట్ వీడియో ప్లాట్ఫామ్ల కోసం ఆండ్రాయిడ్ అప్లికేషన్ అప్డేట్లను అడ్డగించడం మరియు భర్తీ చేయడం.
- DLL సైడ్-లోడింగ్ ద్వారా షాడోప్యాడ్ బ్యాక్డోర్ను అందించడానికి విండోస్ మరియు ఇతర బైనరీ డౌన్లోడ్లను హైజాక్ చేయడం, తరువాత డార్క్నింబస్ను లోడ్ చేయడం.
- 360 మరియు టెన్సెంట్ ఉత్పత్తులతో సహా యాంటీవైరస్ మరియు సిస్టమ్-నిర్వహణ సాఫ్ట్వేర్ నుండి కమ్యూనికేషన్లకు అంతరాయం.
- మెసేజింగ్, వాయిస్ మరియు వీడియో కాల్స్, షాపింగ్, వార్తల వినియోగం, మ్యాప్ శోధనలు, స్ట్రీమింగ్, గేమింగ్, డేటింగ్, రైడ్-షేరింగ్ మరియు ఇమెయిల్ వినియోగం వంటి కార్యకలాపాలలో వర్గీకరించబడిన వినియోగదారు ప్రవర్తన యొక్క నిజ-సమయ పర్యవేక్షణ.
నెట్వర్క్ ఎడ్జ్ భద్రతకు సంబంధించిన చిక్కులు
అధునాతన, లక్ష్యంగా చేసుకున్న చొరబాటు ప్రచారాలలో రూటర్లు మరియు అంచు పరికరాలు అధిక-విలువ లక్ష్యాలను సూచిస్తూనే ఉన్నాయి. ముప్పు కలిగించే వ్యక్తులు ఈ మౌలిక సదుపాయాల పొరపై ఎక్కువగా దృష్టి సారిస్తున్నందున, వారు ఉపయోగించే సాధనాలు మరియు సాంకేతికతలలో దృశ్యమానత తప్పనిసరి అవుతుంది. DKnife ఫ్రేమ్వర్క్ యొక్క బహిర్గతం ఆధునిక AitM ముప్పుల పరిపక్వతను నొక్కి చెబుతుంది, ఇవి లోతైన ప్యాకెట్ తనిఖీ, ట్రాఫిక్ మానిప్యులేషన్ మరియు టైలర్డ్ మాల్వేర్ డెలివరీని కలిపి విస్తృత శ్రేణి పరికర రకాలను రాజీ చేస్తాయి.
