MirageFox Skadelig Programvare Koblet Til APT15 Cracking Organization Sier Intezer

2023 Forfatter: Kayla Nelson | [email protected]. Sist endret: 2023-07-30 23:17

APT15, en informasjonssprengningsgruppe som muligens er knyttet til en organisasjon i Kina, har utviklet ny malware-belastning som infosec-eksperter fra topp sikkerhetsforskningsfirma Intezer hevder at de låner kode fra eldre verktøy. Gruppen har vært aktiv siden minst 2010-2011, og den har derfor et ganske stort kodebibliotek å trekke på.

Siden det har en tendens til å gjennomføre spionasjekampanjer mot forsvars- og energimål, har APT15 holdt ganske høy profil. Crackers fra gruppen brukte sårbarheter bak døren i britiske programvareinstallasjoner for å treffe britiske regjeringskontraktører tilbake i mars.

Den siste kampanjen deres innebærer noe som sikkerhetseksperter kaller MirageFox, siden det tilsynelatende er basert på 2012-verktøy som heter Mirage. Navnet ser ut til å komme fra streng som finnes i en av modulene som driver krakking verktøyet.

Ettersom de opprinnelige Mirage-angrepene brukte kode for å opprette ekstern skall samt dekrypteringsfunksjoner, kunne den brukes til å få kontroll over sikre systemer, uavhengig av om de ble virtualisert eller kjørte på bart metall. Mirage selv delte også kode med nettangrepsverktøy som MyWeb og BMW.

Også disse har blitt sporet til APT15. et utvalg av deres nyeste verktøy ble samlet av DLL-sikkerhetseksperter 8. juni og deretter lastet opp til VirusTotal dagen senere. Dette ga sikkerhetsforskere muligheten til å sammenligne det med andre lignende verktøy.

MirageFox bruker en ellers legitim kjørbar fil for å kompromittere DLL og deretter kapre den for å tillate kjøring av vilkårlig kode. Noen eksperter mener at dette er gjort for å overta spesifikke systemer som manuell kommando- og kontrollinstruksjon (C&C) deretter kan overføres til.

Dette ville matche mønsteret som APT15 brukte tidligere. representant fra Intezer har til og med uttalt at konstruksjon av tilpassede skadelige komponenter som er designet for å best passe det kompromitterte miljøet, er hvordan APT15 vanligvis gjør forretninger, for å si det sånn.

Tidligere verktøy brukte en utnyttelse i Internet Explorer, slik at skadelig programvare kunne kommunisere med eksterne C & C-servere. Selv om listen over berørte plattformer ennå ikke er tilgjengelig, ser det ut til at denne spesifikke skadelige programvaren er veldig spesialisert og derfor ikke ser ut til å utgjøre noen trussel for de fleste typer sluttbrukere.