Китайски хакери атакуват южноамерикански дипломати с ShadowPad

В понеделник Microsoft приписа на базирано в Китай лице, занимаващо се с кибершпионаж, серия от атаки, насочени към дипломатически структури в Южна Америка.

Екипът за разузнаване на сигурността на технологичния гигант проследява групата под нововъзникващия псевдоним DEV-0147, като описва дейността като „разширяване на операциите на групата за ексфилтриране на данни, които традиционно са насочени към правителствени агенции и мозъчни тръстове в Азия и Европа“.

Твърди се, че бандата използва утвърдени хакерски инструменти като ShadowPad, за да проникне в целите и да поддържа постоянен достъп.

ShadowPad, наричана също PoisonPlug, е наследник на троянеца за отдалечен достъп PlugX и е широко използван от китайски държавни хакери, свързани с Министерството на държавната сигурност (МДС) и Народноосвободителната армия (НОАК), по данни на Secureworks.

Един от другите зловредни инструменти, използвани от DEV-0147, е зареждащ модул за Webpack, наречен QuasarLoader, който позволява разполагането на допълнителни полезни товари на компрометираните хостове.

Редмънд не разкрива метода, който DEV-0147 може да използва, за да получи първоначален достъп до целевата среда. При това вероятните вектори са фишинг и опортюнистично насочване към непоправени приложения.

„Атаките на DEV-0147 в Южна Америка включваха дейности след експлоатирането, включващи злоупотреба с местната инфраструктура за идентификация за разузнаване и странично придвижване, както и използването на Cobalt Strike за командване и контрол и ексфилтрация на данни“, заявиха от Microsoft.

 

През септември 2022 г. NCC Group разкри подробности за атака, насочена към неназована организация, при която е злоупотребено с критичен недостатък в WSO2 (CVE-2022-29464, CVSS оценка: 9,8), за да се пуснат уеб шелове и да се активира инфекциозна верига, която води до доставката на ShadowPad за събиране на разузнавателна информация.

ShadowPad е използван и от неидентифицирани хакери при атака, насочена към външно министерство на член на АСЕАН, чрез успешно използване на уязвим и свързан с интернет сървър Microsoft Exchange.

Наблюдава се, че тази дейност, наречена REF2924 от Elastic Security Labs, споделя тактически асоциации с тези, възприети от други националнодържавни групи като Winnti (известна още като APT41) и ChamelGang.

„Наборът от прониквания REF2924 […] представлява група за атаки, която изглежда фокусирана върху приоритети, които, когато се наблюдават в различни кампании, съвпадат със спонсориран национален стратегически интерес“, отбеляза компанията.

Фактът, че китайските хакерски групи продължават да използват ShadowPad, въпреки че той е добре документиран през годините, предполага, че техниката дава известен успех.

Източник: The Hacker News

Подобни публикации

4 декември 2023

Рансъмуерът е безмилостен: какво можете да напр...

Не само, че броят на рансъмуерите се увеличава, но този вид зловред...
3 декември 2023

Свалянето на Qakbot: Смекчаване на последиците ...

Министерството на правосъдието на САЩ и ФБР наскоро си сътрудничиха...
2 декември 2023

Владимир Дунаев е осъден за създаването на злов...

Министерството на правосъдието на САЩ обяви, че руски гражданин е п...
2 декември 2023

Клиентите на онлайн туристическата агенция Book...

Една от най-големите онлайн туристически агенции в света – Booking....
2 декември 2023

Националната ядрена лаборатория на Айдахо е бил...

Националната лаборатория на Айдахо (INL), една от 17-те национални ...
1 декември 2023

Енергийни смущения, свързани с киберсигурността

Експерти по сигурността предупреждават, че операторите на петролни ...
30 ноември 2023

Microsoft започва тестване на новата функция за...

Microsoft започна да тества нова функция на Windows 11 Energy Saver...
30 ноември 2023

Dollar Tree е жертва на нарушаване на сигурност...

Веригата дисконтови магазини Dollar Tree беше засегната от нарушава...
Бъдете социални
Още по темата
30/11/2023

Dollar Tree е жертва на нар...

Веригата дисконтови магазини Dollar Tree беше...
29/11/2023

Ирански хакери експлоатират...

Агенцията за киберсигурност и инфраструктура в...
28/11/2023

Хакери компрометираха чувст...

Rivers Casino Des Plaines е засегнато...
Последно добавени
04/12/2023

Рансъмуерът е безмилостен: ...

Не само, че броят на рансъмуерите...
03/12/2023

Свалянето на Qakbot: Смекча...

Министерството на правосъдието на САЩ и...
02/12/2023

Владимир Дунаев е осъден за...

Министерството на правосъдието на САЩ обяви,...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!