WindShift APT

Ang alamat na ang mga Mac computer ay hindi nakakakuha ng mga virus ay iyon lang: isang gawa-gawa. Ang katotohanan ay ang mga virus ng Mac ay hindi gaanong karaniwan. Umiiral pa rin ang mga ito, ngunit hindi ginagawang priyoridad ng mga grupo ng pag-hack ang paglikha sa kanila. Gayunpaman, madalas, may kasamang grupo tulad ng WindShift.

Ang WindShift ay ang itinuturing na APT (Advanced Persistent Threat). Ito ang mga pangkat na alam at sinusubaybayan ng mga mananaliksik sa seguridad. Ang imprastraktura, mga tool, at mga target ng isang APT ay karaniwang kilala dahil ang mga ito ay sinuri nang mabuti. Ang ilang mga grupo ay mas patago at magagawang gumana nang tahimik nang hindi sinusubaybayan. Mas mahirap bantayan ang mga grupong iyon. Ang WindShift ay isa sa mga pangkat na iyon at, ayon sa mga mananaliksik, ay nagpapatakbo mula noong 2017 sa pinakaunang bahagi.

Pangunahing nakatuon ang WindShift APT sa mga operasyon ng reconnaissance. Nakipag-ugnayan ang grupo sa malalaking target tulad ng mga gobyerno at organisasyon ngunit lumilitaw din na humahabol sa mga partikular na target na napili nang maaga. Ang kawili-wiling bagay tungkol sa kanilang mga target ay tila sila ay ganap na walang kaugnayan. Ang mga mananaliksik sa cybersecurity ay hindi pa nakakahanap ng isang solong link sa pagitan ng mga target. Ang WindShift ay gumagamit din ng ibang diskarte kaysa sa ibang mga grupo. Hindi gaanong umaasa ang grupo sa malware at ransomware para makuha ang impormasyong hinahangad nila tulad ng ginagawa ng ibang mga grupo. Sa halip, ang APT na ito ay gumagamit ng sopistikadong social engineering upang makakuha ng data mula sa mga target nang banayad. Karamihan sa mga target ay hindi napagtanto na may mali hanggang sa huli na.

Ito ay salamat sa pag-asa sa stealth na ang grupo ay maaaring magsagawa ng mga operasyon para sa pinalawig na mga panahon ng oras nang hindi nahuhuli. Ang mga kampanya ng WindShift ay kilala sa mga nakaraang buwan sa isang pagkakataon. Iminumungkahi ng mga eksperto na ang ilan sa mga target na tinamaan ng WindShift ay naobserbahan sa loob ng ilang buwan bago nagsimula ang grupo ng anumang aktwal na operasyon sa pag-hack. Ginagawa ito ng WindShift sa pamamagitan ng paggamit ng mga pekeng social media account, pagdaraos ng mga talakayan sa mga target tungkol sa mga nauugnay na paksa, at paglikha ng nakakaakit na nilalaman sa pamamagitan ng mga pekeng publikasyon. Kumonekta sila sa kanilang mga target para makakuha ng tiwala at gawing mas madali ang aktwal na yugto ng pag-atake.

Gumagamit din ang grupo ng hanay ng mga tool sa pagsusuri upang pag-aralan at obserbahan ang mga indibidwal, kabilang ang kanilang mga gawi at interes sa pagba-browse. Magagamit nila ang impormasyong ito upang palawakin ang kanilang mga kampanya sa social engineering at makakuha ng higit pang kaalaman. Ginamit ng WindShift ang mga tool at utility na magagamit sa publiko na ginawa nila mismo. Ang isang paraan ng pangangalap ng grupo ng impormasyon tungkol sa mga bagay na gusto ng kanilang mga target ay ang pagpapadala sa kanila ng mga link sa mga lehitimong web page.

Susubukan ng mga hacker na makakuha ng mga kredensyal sa pag-log in mula sa isang target kapag mayroon na silang sapat na impormasyon upang magamit. Ginamit ng grupo ang Apple iCloud at Gmail, bukod sa iba pa, upang makakuha ng mga kredensyal mula sa kanilang mga target. Nagpapadala ang grupo sa kanilang target ng mensahe na nag-aalerto sa kanila na kailangan nilang i-reset ang kanilang password. Ang target ay ipinadala sa isang page na mukhang lehitimo ngunit ito ay isang spoofed recovery page na idinisenyo upang magnakaw ng impormasyon. Kung hindi mahuhulog ang target sa lansihin, ang WindShift ay magpapatuloy sa mga tool sa pag-hack upang makuha ang impormasyong gusto nila.

Sa labas ng paggamit ng mga tool na available sa publiko, nakagawa ang Windshift ng ilang custom na tool sa pag-hack at pagbabanta, gaya ng mga sumusunod:

• WindDrop – Isang Trojan downloader na idinisenyo para sa mga Windows system, na unang nakita noong 2018.
• WindTail – Isang malware na idinisenyo para sa mga OSX system, na nangongolekta ng mga partikular na filetype o file na may ilang partikular na pangalan na akma sa pamantayan nito. May kakayahan din itong magtanim ng karagdagang malware sa nakompromisong system.
• WindTape – Isang backdoor Trojan na idinisenyo para sa mga OSX system na nakakakuha ng mga screenshot.

Ang mga tool na ito ay may ilang mga advanced na kakayahan, tulad ng kakayahang manipulahin ang mga setting ng DNS at ipadala ang mga user sa iba't ibang mga web page. Maaaring kontrolin ng WindShift ang mga koneksyon sa internet ng mga nakompromisong system at sa halip ay ipadala ang mga ito sa ibang mga website. Ang mga website na ito ay idinisenyo upang magmukhang tunay na bagay at ginagamit upang makakuha ng mga kredensyal sa pag-log in at karagdagang impormasyon mula sa mga target.

Ang WindShift APT ay walang alinlangan na isa sa mga hindi pangkaraniwang pangkat ng pag-hack sa paligid. Ang grupo ay may ibang diskarte sa kanilang mga target at pag-atake kaysa sa iba pang kilalang APT. Ang grupo ay lubos na umaasa sa social engineering at pangunahing pinupuntirya ang mga Mac computer. Ito ang dahilan kung bakit sila naging isang palaisipan sa mundo ng pag-hack. Sinusubukan pa rin ng mga mananaliksik ng seguridad na gawin ang kanilang mga pamamaraan sa pagpapatakbo at motibasyon. Gayunpaman, tiyak na pinatutunayan ng grupo na ang iyong Mac ay hindi kasing immune sa mga virus gaya ng iniisip mo.