06 Eki 2023Haber odasıSiber Saldırı / Kötü Amaçlı Yazılım
Tehdit aktörlerinin, Kobalt Saldırı işaretlerini dağıtmak üzere tasarlanmış Tayvan Yarı İletken Üretim Şirketi (TSMC) kılığına giren yemlerle Doğu Asya’daki yarı iletken şirketlerini hedef aldığı gözlemlendi
Saldırıların arkasındaki rakip ile RecordedFuture tarafından RedHotel adı altında takip edilen ve yine Earth Lusca adlı bir bilgisayar korsanlığı ekibiyle örtüşen başka bir küme arasında taktiksel örtüşmeler de ortaya çıkarıldı ” dedi
Saldırının dikkate değer bir yönü, Cobalt Strike işaretçisine sabit kodlanmış C2 sunucu adresinin, güvenlik duvarı savunmalarını aşmak amacıyla meşru bir jQuery CDN olarak gizlenmesidir
Başka bir Çin bağlantısı, indirici aracılığıyla dağıtım için ChargeWeapon adlı Go tabanlı bir implant da dahil olmak üzere ikinci aşama ikili dosyaları barındırmak için muhtemelen tehlikeye atılmış bir Cobra DocGuard web sunucusunun kullanılmasından kaynaklanıyor
Açıklama Financial Times’ın rapor edildi Belçika’nın istihbarat ve güvenlik teşkilatı Devlet Güvenlik Servisi’nin (VSSE), ülkenin Liège kargo havaalanında “Alibaba dahil Çinli kuruluşlar tarafından gerçekleştirilen olası casusluk ve/veya müdahale faaliyetlerini tespit etmek ve bunlara karşı mücadele etmek” için çalıştığını söyledi
“ChargeWeapon, uzaktan erişim sağlamak ve cihaz ve ağ bilgilerini virüslü bir ana bilgisayardan saldırganın kontrolündeki bir bilgisayara göndermek için tasarlandı [command-and-control] Sunucu,” EclecticIQ araştırmacısı Arda Büyükkaya Perşembe günü yaptığı bir analizde söyledi
EclecticIQ tarafından belgelenen saldırı zincirinde, HyperBro’nun yürütülmesinin ardından TSMC temalı bir PDF belgesi, enfeksiyonu etkinleştirmek için sosyal mühendislik tekniklerinin kullanıldığını gösteren bir tuzak olarak görüntüleniyor
Savunma Bakanlığı, “ÇHC, siber araçları kullanarak, temel savunma ağlarına ve ABD’nin daha geniş kritik altyapısına, özellikle de Savunma Sanayii Üssü’ne (DIB) karşı uzun süreli casusluk, hırsızlık ve uzlaşma kampanyalarına girişti
Görüntü Kaynağı: Sekoia kayıt edilmiş bir istihbarat raporunda
Büyükkaya, “Arka planda gizlice kötü amaçlı yazılım çalıştırırken normal görünümlü bir PDF sunarak, kurbanın şüphelenme ihtimali en aza indirilir Ajans, “Çin’in Belçika’daki faaliyetleri, devlet sırlarını çalan klasik casuslarla veya önemli bir sektörü veya hükümet departmanını bilgisayarının arkasından felç eden bilgisayar korsanıyla sınırlı değil” dedi Hollandalı siber güvenlik firması, kampanyayı neredeyse yalnızca Lucky Mouse (diğer adıyla APT27, Budworm ve Emissary Panda) olarak bilinen bir tehdit aktörü tarafından kullanılan HyperBro’nun kullanımı nedeniyle Çin bağlantılı bir tehdit aktörüne bağladı “Çin, karar alma süreçlerini etkilemek amacıyla bir dizi devlet ve devlet dışı kaynak kullanıyor
EsafeNet’in Cobra DocGuard şifreleme yazılımının truva atı haline getirilmiş bir versiyonunun da PlugX’in dağıtımıyla bağlantılı olduğunu ve Symantec’in onu Carderbee kod adlı şüpheli bir Çin bağlantı noktası aktörüne bağladığını belirtmekte fayda var İzinsiz giriş seti, başına EklektikIQHyperBro adı verilen bir arka kapıdan yararlanıyor ve bu daha sonra ticari saldırı simülasyon yazılımını ve istismar sonrası araç setini dağıtmak için bir kanal olarak kullanılıyor io |
Alibaba herhangi bir yanlışı reddetti ” söz konusu
Alternatif bir saldırı dizisinin, Cobalt Strike’ı dağıtmak için daha önce belgelenmemiş bir kötü amaçlı yazılım indiricisini kullandığı söyleniyor; bu da tehdit aktörlerinin ilgilenilen hedeflere sızmak için birden fazla yaklaşım tasarladığını gösteriyor ”
ABD Savunma Bakanlığı’nın (DoD) geçen ay yayınladığı bir rapor Çin’i anlattı “geniş ve yaygın bir siber casusluk tehdidi” oluşturduğunu ve stratejik avantaj elde etmek için teknoloji sırlarını çaldığını ve gözetim çalışmaları yürüttüğünü iddia ediyor