TinyNote Backdoor
Ang grupo ng nation-state na Tsino na tinatawag na Camaro Dragon ay muling iniugnay sa paglikha ng isang bagong backdoor na naaayon sa mga layunin nito sa pangangalap ng katalinuhan. Ang backdoor na ito, na kilala bilang TinyNote, ay binuo gamit ang Go programming language. Bagama't maaaring hindi magpakita ang TinyNote ng mga advanced na antas ng pagiging sopistikado, binabayaran nito ito sa pamamagitan ng paggamit ng isang hanay ng mga diskarte upang matiyak ang patuloy na pag-access sa mga nakompromisong host.
Gumagana ang TinyNote bilang unang yugto ng payload, pangunahing nakatuon sa pagsasagawa ng pangunahing pag-enumerate ng makina at pagpapatupad ng mga utos gamit ang alinman sa PowerShell o Goroutines. Gumagamit ang malware ng maraming paraan upang mapanatili ang isang foothold sa nakompromisong system. Kabilang dito ang pagsasagawa ng ilang mga gawain sa pagtitiyaga at paggamit ng iba't ibang mga diskarte upang makipag-usap sa mga server nito.
Ang layunin ng Camaro Dragon ay lumilitaw na mapanatili ang isang nababanat at patuloy na presensya sa loob ng nakompromisong host, na pinapalaki ang kakayahan nitong mangalap ng katalinuhan at potensyal na magsagawa ng higit pang mga malisyosong aktibidad. Kapansin-pansin na ang aktibidad ng Camaro Dragon ay nag-o-overlap sa mga aksyon ng isang banta na aktor na sinusubaybayan bilang Mustang Panda ng komunidad ng cybersecurity. Ang Mustang Panda ay pinaniniwalaan din na isang cybercrime group na inisponsor ng estado mula sa Chine, na may mga palatandaan na nagsasaad na ito ay naging masigasig mula pa noong 2012.
Ang TinyNote Backdoor ay Ginagamit upang I-target ang mga Embahada ng Pamahalaan
Ang pamamahagi ng TinyNote Backdoor ay nagsasangkot ng paggamit ng mga filename na nauugnay sa foreign affairs, tulad ng 'PDF_ Contacts List Of Invitated Diplomatic Members.' Ang kampanya sa pag-atake ay nagpapakita ng sinasadyang pagtutok sa pag-target sa mga embahada sa Timog Silangang at Silangang Asya.
Ang isang makabuluhang aspeto ng partikular na malware na ito ay ang kakayahang maiwasan ang pagtuklas ng Smadav, isang solusyon sa antivirus na karaniwang ginagamit sa Indonesia. Ang kakayahang ito ay nagpapakita ng masusing paghahanda at malawak na kaalaman na taglay ng mga umaatake tungkol sa kapaligiran ng kanilang mga biktima at sa rehiyon sa kabuuan.
Ang deployment ng TinyNote Backdoor ay nagpapakita ng naka-target na katangian ng mga operasyon ng Camaro Dragon at ang malawak na pagsasaliksik na ginagawa nila bago ang paglusot sa mga sistema ng kanilang nilalayong biktima. Sa pamamagitan ng sabay-sabay na paggamit sa backdoor na ito kasama ng iba pang mga tool na may iba't ibang antas ng teknikal na pagiging sopistikado, ipinapakita ng mga banta ng aktor ang kanilang aktibong pagsisikap na pag-iba-ibahin ang kanilang arsenal ng pag-atake.
Ang mga Cybercriminal ay Patuloy na Lumalawak at Nagbabago ng Kanilang Mga Teknik at Pagbabanta sa Arsenal
Ang mga natuklasang ito ay nagbigay-liwanag sa mga advanced na taktika na ginagamit ng Camaro Dragon, na nagbibigay-diin sa kanilang estratehikong diskarte at pangako sa pag-angkop ng kanilang mga diskarte upang mapakinabangan ang pagiging epektibo at makamit ang kanilang mga layunin. Ang deployment ng TinyNote Backdoor ay binibigyang-diin ang pagtuon ng grupo sa mga partikular na target at ang kanilang patuloy na pagsisikap na manatiling nangunguna sa umuusbong na tanawin ng mga banta sa cyber.
Ang Mustang Panda ay nakakuha ng pansin sa pagbuo ng isang custom na firmware implant na kilala bilang Horse Shell. Ang implant na ito ay partikular na nagta-target ng mga TP-Link router, na ginagawang isang mesh network na nagbibigay-daan sa pagpapadala ng mga command sa pagitan ng mga server ng Command-and-Control (C2) at mga nahawaang device.
Sa esensya, ang layunin ng implant na ito ay i-obfuscate ang mga mapaminsalang aktibidad sa pamamagitan ng paggamit ng mga nakompromisong home router bilang intermediate na imprastraktura. Sa paggawa nito, ang mga umaatake ay lumikha ng isang network na nagpapahintulot sa mga komunikasyon sa mga nahawaang computer na lumitaw na nagmula sa ibang node, na nagdaragdag ng karagdagang layer ng pagiging kumplikado sa kanilang mga operasyon.
Itinatampok ng mga kamakailang natuklasan hindi lamang ang pagsulong at pagiging sopistikado ng mga taktika sa pag-iwas ng mga umaatake kundi pati na rin ang patuloy na nagbabagong katangian ng kanilang mga diskarte sa pag-target. Higit pa rito, ang mga umaatake ay gumagamit ng magkakaibang hanay ng mga custom na tool na iniakma upang labagin ang mga depensa ng iba't ibang mga target, na nagbibigay-diin sa kanilang pangako sa paggamit ng isang komprehensibo at adaptive na diskarte.
Ang mga pag-unlad na ito ay nagpapakita ng pagtaas ng pagiging kumplikado at mga kakayahan ng mga cybercriminal na grupo habang patuloy nilang pinipino ang kanilang mga diskarte at tool upang maiwasan ang pagtuklas at ikompromiso ang isang malawak na hanay ng mga target. Ang paggamit ng Horse Shell firmware implant ay nagpapakita ng kanilang katalinuhan sa muling paggamit ng umiiral na imprastraktura para sa mga layuning nagbabanta, na nagpapalakas sa mga hamon na kinakaharap ng mga tagapagtanggol sa pag-detect at pagpapagaan sa mga sopistikadong banta na ito.
