WinDealer

Ang isang hindi gaanong kilalang cybercriminal group na nagsasalita ng Chinese ay nagsasagawa ng mga operasyon ng pag-atake na nagde-deploy ng malware sa pagnanakaw ng impormasyon sa mga nalabag na device. Hinaharang ng mga hacker mula sa grupong LuoYu ang mga update para sa mga lehitimong app at inililipat ang mga ito ng mga nakakahamak na payload sa tinatawag na man-on-the-side na pag-atake. Upang maging matagumpay ang impeksyon, aktibong sinusubaybayan ng mga banta ng aktor ang trapiko sa network ng kanilang mga napiling biktima. Kapag may naobserbahang kahilingan para sa update ng app na nauugnay sa mga sikat na produkto ng software sa Asian market gaya ng QQ, Wanga Wang, o WeChat, pinapalitan sila ng mga hacker ng LuoYu ng mga installer para sa WInDealer malware.

Kapag naisakatuparan sa Windows system ng biktima, papayagan ng WinDealer ang mga umaatake na magsagawa ng malawak na hanay ng mga mapanghimasok at malisyosong pagkilos. Ang isa sa mga pangunahing pag-andar ng banta ay nauugnay sa pag-aani at kasunod na pag-exfiltrate ng kumpidensyal at sensitibong data. Gayunpaman, maaari ding umasa ang mga hacker sa WinDealer upang mag-install ng mas espesyal na mga banta sa backdoor upang magarantiya ang kanilang pagtitiyaga sa device. Maaaring manipulahin ng WinDealer ang file system, mag-scan para sa mga karagdagang device na konektado sa parehong network, o magpatakbo ng mga arbitrary na command.

Ang isang kakaibang katangian ng banta ay ang paraan ng pakikipag-ugnayan nito sa Command-and-Control (C2, C&C) server nito. Sa halip na gumamit ng isang hard-coded na C2 server, ang mga cybercriminal ng LuoYu ay lumikha ng isang pool ng 48,000 IP address mula sa Xizang at Guizhou Chinese provinces. Ang banta ay kumonekta sa isang random na ChinaNET (AS4134) IP address mula sa pool na iyon. Ang mga mananaliksik ng cybersecurity sa Kaspersky na naglabas ng mga detalye tungkol sa LuoYu at WinDealer ay naniniwala na ang mga hacker ay may kakayahang gumamit ng ganoong pamamaraan salamat sa pagkakaroon ng access sa pagkompromiso sa mga router sa loob ng AS4134 o sa pamamagitan ng paggamit ng mga tool sa pagpapatupad ng batas sa antas ng ISP. Ang isa pang posibilidad ay ang mga aktor ng pagbabanta ay may mga panloob na pamamaraan na hindi pa alam ng pangkalahatang publiko.