Daggerfly APT Group

Пов'язана з Пекіном державна хакерська група, відома як Daggerfly, націлилася на організації на Тайвані та американську неурядову організацію (НУО), що працює в Китаї. У цих атаках вони використовували розширений набір інструментів зловмисного програмного забезпечення. Ця кампанія свідчить про те, що угруповання також веде внутрішнє шпигунство. Під час атаки на неурядову організацію хакери скористалися вразливістю HTTP-сервера Apache, щоб розгорнути зловмисне програмне забезпечення MgBot .

Загрозливий арсенал групи Daggerfly APT (Advanced Persistent Threat).

Daggerfly, також відомий як Bronze Highland і Evasive Panda, використовує модульну структуру зловмисного програмного забезпечення MgBot для операцій зі збору інформації, націлених на постачальників телекомунікаційних послуг в Африці з 2012 року. Група має навички швидкого оновлення свого набору інструментів у відповідь на виявлення, що дозволяє їй продовжувати свою шпигунську діяльність з мінімальними перешкодами.

Останні атаки стосуються нової сімейства зловмисних програм, отриманих від MgBot, і вдосконаленої версії MACMA , зловмисного програмного забезпечення для macOS, яке було вперше виявлено в листопаді 2021 року. MACMA спочатку поширювалося через атаки з використанням уразливостей у Safari для націлювання на користувачів у Гонконгу.

Це знаменує перше явне підключення MACMA до певної хакерської групи, розкриваючи її здатність збирати конфіденційну інформацію та виконувати довільні команди. Докази свідчать про те, що творці MACMA, можливо, повторно використовували код розробників ELF/Android, потенційно також націлюючись на пристрої Android.

Зв’язок MACMA з Daggerfly також підтверджується збігами у вихідному коді з MgBot і тим фактом, що він спілкується з сервером командування та керування (C2) (103.243.212.98), який також використовується дроппером MgBot.

Додаткові загрози зловмисного програмного забезпечення, які використовує Daggerfly

Ще одним доповненням до арсеналу групи є Nightdoor (також відомий як NetMM і Suzafk). Цей імплантат використовує API Google Drive для командування та керування (C2) і використовується в атаках на тибетські користувачі щонайменше з вересня 2023 року. Вперше цю діяльність було задокументовано в березні.

Група продемонструвала здатність розробляти версії своїх інструментів для основних операційних систем. Дослідники помітили докази троянських APK для Android, інструментів перехоплення SMS, інструментів перехоплення запитів DNS і зловмисного програмного забезпечення, націленого на ОС Solaris.

Як захистити свої пристрої від загроз зловмисного програмного забезпечення?

Захист пристроїв від загроз зловмисного програмного забезпечення вимагає багатогранного підходу, який поєднує в собі технології, передові практики та пильність користувачів. Ось найкращі заходи, які користувачі повинні застосувати, щоб захистити свої пристрої:

• Встановлюйте та регулярно оновлюйте програмне забезпечення для захисту від зловмисного програмного забезпечення : використовуйте надійне програмне забезпечення безпеки для виявлення та видалення зловмисного програмного забезпечення, гарантуючи, що воно завжди є максимально оновленим для захисту від останніх загроз. Крім того, увімкніть сканування в реальному часі, щоб відстежувати файли та завантаження під час постійного доступу до них.
• Оновлюйте операційні системи та програмне забезпечення : увімкніть автоматичні оновлення для вашої операційної системи, браузерів і програм, щоб негайно отримувати останні виправлення безпеки. Якщо автоматичні оновлення недоступні, регулярно перевіряйте та встановлюйте їх вручну, щоб забезпечити безпеку.
• Використовуйте брандмауери : переконайтеся, що вбудований брандмауер у вашій операційній системі активний, щоб блокувати неавторизований доступ. Для додаткового захисту, особливо в домашніх або корпоративних мережах, розгляньте можливість використання апаратного брандмауера.
• Практикуйте звички безпечного перегляду : уникайте відвідування веб-сайтів, які здаються ненадійними або мають сумнівний вміст. Завантажуйте програмне забезпечення з авторитетних та офіційних джерел і не натискайте спливаючі вікна чи рекламні оголошення, що пропонують безкоштовне завантаження, щоб мінімізувати ризик шкідливого програмного забезпечення.
• Використовуйте надійні паролі та двофакторну автентифікацію (2FA) : завжди використовуйте достатньо надійні паролі для різних облікових записів і регулярно їх змінюйте. Увімкніть 2FA, щоб отримати ще один рівень безпеки, що ускладнить доступ для потенційних хакерів.
• Будьте обережні з електронною поштою та вкладеннями : будьте пильні щодо фішингових електронних листів, призначених для того, щоб оманою змусити вас розкрити особисту інформацію або завантажити зловмисне програмне забезпечення. Не відкривайте вкладення електронної пошти та не переходьте за посиланнями з невідомих або підозрілих джерел.
• Регулярно створюйте резервні копії даних : регулярно створюйте резервні копії важливих даних на зовнішньому жорсткому диску або в хмарній службі, гарантуючи можливість відновлення інформації в разі атаки зловмисного програмного забезпечення. Періодично перевіряйте, чи створено резервні копії та їх можна успішно відновити.
• Використовуйте засоби блокування реклами та засоби захисту від відстеження : установіть блокувальники реклами, щоб зменшити ризик зіткнутися з шахрайською рекламою. Крім того, використовуйте розширення браузера, які блокують сценарії відстеження, щоб захистити ваші дані веб-перегляду від збирання.
• Захистіть свою мережу : змініть усі стандартні імена користувачів і паролі на вашому маршрутизаторі та інших мережевих пристроях. Використовуйте надійне шифрування (WPA3 або WPA2) для своєї мережі Wi-Fi та вимкніть WPS для підвищення безпеки.
• Навчайте себе та інших : будьте в курсі останніх загроз безпеці та передових методів. Навчіть членів родини або співробітників щодо безпечної поведінки в Інтернеті та потенційних загроз, щоб усі були обізнані та пильні.

Інтегруючи ці заходи на всіх пристроях, користувачі, швидше за все, зменшать ризик зараження шкідливим програмним забезпеченням і значно підвищать загальну безпеку.