Chiến dịch tấn công mới của nhóm tin tặc Transparent Tribe nhắm vào các quan chức của Ấn Độ - Bảo mật
Một nhóm tin tặc có khả năng là người Pakistan được cho là đã tham gia vào một chiến dịch nhằm tấn công các mục tiêu bằng một loại trojan truy cập từ xa dựa trên Windows có tên là CrimsonRAT, ít nhất là từ tháng 6/2021.
Các chuyên gia của Cisco Talos cho biết trong một phân tích được chia sẻ với The Hacker News: “Transparent Tribe là một nhóm APT hoạt động khá tích cực ở khu vực Tiểu lục địa Ấn Độ. Mục tiêu chính của chúng là chính phủ và những nhân viên quân sự ở Afghanistan và Ấn Độ. Chiến dịch này thúc đẩy việc tấn công mục tiêu này, và mục tiêu trọng tâm của chúng là thiết lập quyền truy cập lâu dài cho các hoạt động gián điệp”.
Tháng trước, nhóm này đã mở rộng bộ công cụ mã độc của họ để xâm nhập vào các thiết bị Android với một cửa hậu có tên là CapraRAT thể hiện “độ tương đồng” cao với CrimsonRAT.
Danh sách liệt kê các cuộc tấn công mới nhất do Cisco Talos tổng hợp bao gồm việc sử dụng các tên miền giả mạo nhái các trang web chính phủ và các tổ chức có liên quan để phát tán mã độc. Điều này bao gồm một môi trường stager dựa trên Python được sử dụng để cài đặt các công cụ do thám, RAT dựa trên .NET cũng như các công cụ hỗ trợ cấy ghép dựa trên .NET để thực thi mã tùy ý trên hệ thống bị nhiễm.
Bên cạnh việc liên tục phát triển các chiến thuật triển khai và các chức năng độc hại, Transparent Tribe còn dựa vào nhiều phương thức phát tán. Chẳng hạn như file thực thi giả mạo các file cài đặt của các ứng dụng hợp pháp, tệp lưu trữ và vũ khí hóa các tài liệu để nhắm vào các thực thể và cá nhân Ấn Độ.
Một trong những file thực thi phát tán mã độc giả dạng là Kavach (có nghĩa là “áo giáp” trong tiếng Hindi). Kavach một giải pháp xác thực hai yếu tố do chính phủ Ấn Độ ủy quyền bắt buộc để truy cập các dịch vụ email, nhằm phát hiện các malware.
Cũng được đưa vào sử dụng là các hình ảnh làm mồi nhử theo chủ đề COVID-19 và file đĩa cứng ảo (hay còn gọi là file VHDX), được sử dụng làm bệ phóng để truy xuất tải trọng bổ sung từ máy chủ điều khiển và chỉ huy từ xa. Chẳng hạn như CrimsonRAT được sử dụng để thu thập dữ liệu nhạy cảm và thiết lập quyền truy cập lâu dài vào hệ thống mạng của nạn nhân.
Trong khi CrimsonRAT là “sự lựa chọn chủ yếu” cho nhóm hacker để thực hiện các hoạt động gián điệp trong các chiến dịch nhằm mục đích gài bẫy một loạt nạn nhân. Nhóm APT cũng đã được quan sát thấy đã triển khai ObliqueRAT trong “Các cuộc tấn công có chủ đích nhắm vào nhân viên chính phủ và trong các hoạt động nơi mà tính năng ẩn mình là trọng tâm hàng đầu trong chuỗi lây nhiễm của những kẻ tấn công”.
Bất chấp việc đa dạng hóa danh mục malware, đây không phải là lần đầu tiên Transparent Tribe sử dụng các ứng dụng hợp pháp do chính phủ Ấn Độ duy trì để làm mồi nhử.
Vào tháng 9/2021, Cisco Talos đã tiết lộ một chiến dịch tương tự có tên “Armor Piercer“. Chiến dịch này sử dụng các chủ đề xoay quanh các tài liệu hoạt động và hướng dẫn liên quan đến ứng dụng Kavach nhằm phát tán trojan Netwire và Warzone (AveMaria).
Một hoạt động đáng chú ý khác là một chiến dịch vào tháng 7/2021 do một tin tặc được gọi là SideCopy thực hiện. Chiến dịch này tấn công các nhân viên chính phủ ở Ấn Độ bằng cách sử dụng các chủ đề và chiến thuật tương tự như của nhóm Transparent Tribe để phát tán tập hợp malware của riêng họ.
Điều này đã dẫn tới việc cho ra mắt một mô-đun dựa trên Golang được gọi là Nodachi, được thiết kế để tiến hành do thám và đánh cắp các file liên quan đến Kavach, với mục đích cuối cùng là trích xuất các thông tin từ các nhân viên chính phủ Ấn Độ.
Các chuyên gia cho biết: “Việc sử dụng nhiều phương thức phát tán và mã độc riêng có thể dễ dàng được sửa đổi cho các hoạt động cho thấy rằng nhóm này rất hung hãn, bền bỉ, nhanh nhẹn và không ngừng phát triển các chiến thuật của chúng để tấn công các mục tiêu”.
Theo Thehackernews
The post Chiến dịch tấn công mới của nhóm tin tặc Transparent Tribe nhắm vào các quan chức của Ấn Độ appeared first on SecurityDaily.
from SecurityDaily https://ift.tt/a9GKjIm
Comments
Post a Comment