Η κακόβουλη συμμορία TIDRONE, που συνδέεται με την Κίνα, στοχεύει κατασκευαστές drone στην Ταϊβάν στο πλαίσιο μιας εκστρατείας κυβερνοεπιθέσεων που ξεκίνησε το 2024.
Η Trend Micro παρακολουθεί έναν ανταγωνιστή ονόματι TIDRONE, επισημαίνοντας ότι η δραστηριότητά του σχετίζεται με κατασκοπεία, καθώς επικεντρώνεται σε βιομηχανικές αλυσίδες που συνδέονται με τον στρατό.
Δείτε επίσης: Στρατιωτικός της ADF κατηγορείται για κατασκοπεία υπέρ της Ρωσίας
Η μέθοδος αρχικής πρόσβασης που χρησιμοποιείται για την παραβίαση στόχων παραμένει αυτή τη στιγμή άγνωστο. Η ανάλυση της Trend Micro αποκαλύπτει την ανάπτυξη προσαρμοσμένου κακόβουλου λογισμικού, όπως το CXCLNT και το CLNTEND, το οποίο αξιοποιεί εργαλεία απομακρυσμένης επιφάνειας εργασίας, όπως το UltraVNC.
Ένα ενδιαφέρον κοινό χαρακτηριστικό που παρατηρείται σε διάφορα θύματα είναι η χρήση του ίδιου λογισμικού προγραμματισμού πόρων επιχείρησης (ERP), γεγονός που αυξάνει την πιθανότητα επίθεσης στην αλυσίδα εφοδιασμού.
Οι αλυσίδες επιθέσεων περνούν μέσα από τρία στάδια σχεδιασμένα να διευκολύνουν την κλιμάκωση των προνομίων. Αυτά περιλαμβάνουν την παράκαμψη του ελέγχου πρόσβασης χρήστη (UAC), την απόρριψη διαπιστευτηρίων και τη διαφυγή από τις άμυνες, απενεργοποιώντας τα εγκατεστημένα προϊόντα προστασίας από ιούς στους κεντρικούς υπολογιστές.
Και τα δύο backdoors ενεργοποιούνται μέσω της πλευρικής φόρτωσης ενός DLL μέσω της εφαρμογής Microsoft Word, δίνοντας στους παράγοντες της απειλής τη δυνατότητα να συλλέξουν ένα ευρύ φάσμα ευαίσθητων πληροφοριών.
Διαβάστε ακόμη: Microchip Technology: Παραβίαση δεδομένων μετά από κυβερνοεπίθεση
Το CXCLNT διαθέτει βασικές δυνατότητες μεταφόρτωσης και λήψης αρχείων, καθώς και λειτουργίες για την εκκαθάριση ιχνών και τη συλλογή πληροφοριών θυμάτων, όπως καταχωρίσεις αρχείων και ονόματα υπολογιστών. Επιπλέον, επιτρέπει τη λήψη φορητών εκτελέσιμων αρχείων (PE) και DLL για εκτέλεση σε επόμενο στάδιο.
Το CLNTEND, το οποίο ανακαλύφθηκε για πρώτη φορά τον Απρίλιο του 2024, είναι ένα εργαλείο απομακρυσμένης πρόσβασης (RAT) που υποστηρίζει ένα ευρύ φάσμα διαδικτυακών πρωτοκόλλων για επικοινωνία, συμπεριλαμβανομένων των TCP, HTTP, HTTPS, TLS και SMB (θύρα 445).
Δείτε περισσότερα: Η κινέζικη κυβερνοκατασκοπεία στοχεύει φορείς τηλεπικοινωνιών στην Ασία από το 2021
«Η συνέπεια στους χρόνους κατάρτισης αρχείων και η διάρκεια λειτουργίας του απειλητικού παράγοντα σε συνδυασμό με άλλες κινεζικές δραστηριότητες που σχετίζονται με την κατασκοπεία ενισχύει την εκτίμηση ότι αυτή η εκστρατεία πιθανόν διεξάγεται από μια άγνωστη, έως τώρα, κινεζόφωνη ομάδα απειλών», αναφέρουν οι ερευνητές ασφαλείας Pierre Lee και Vickie Su.
Πηγή: thehackernews
