Puerta trasera Firebird vinculada provisionalmente con APT indio

El grupo de personas conocido como DoNot Team ha estado relacionado con el despliegue de una nueva puerta trasera basada en .NET llamada Firebird, que ha sido dirigida a un número limitado de objetivos en Pakistán y Afganistán.

Los investigadores de ciberseguridad afirmaron que las secuencias de ataque también están configuradas para introducir un descargador llamado CSVtyrei, llamado así debido a su parecido con Vtyrei. Ciertas secciones del código proporcionado parecían no operativas, lo que indica esfuerzos de desarrollo en curso.

Vtyrei (también conocido como BREEZESUGAR) se refiere a una cepa inicial de carga útil y descarga que el actor de amenazas había utilizado previamente para distribuir un marco de malware conocido como RTY.

Se cree que DoNot Team, que también se conoce con los alias APT-C-35, Origami Elephant y SECTOR02, es originario de la India. Sus ataques implican el uso de correos electrónicos de phishing y aplicaciones de Android no autorizadas para propagar malware.

La evaluación más reciente realizada por investigadores amplía el examen de las campañas de ataque dual de este actor de amenazas en abril de 2023, donde implementaron los marcos Agent K11 y RTY.

ElizaRAT utilizado en ataques a la India

Esta divulgación se produce a raíz de que Zscaler ThreatLabz revelara nuevas actividades maliciosas realizadas por la Tribu Transparente con sede en Pakistán (también conocida como APT36). Este grupo ha estado apuntando a sectores del gobierno indio utilizando un arsenal actualizado de malware, que incluye un troyano de Windows no documentado anteriormente llamado ElizaRAT.

ElizaRAT se entrega como un binario .NET y establece un canal de comunicación a través de Telegram, lo que permite a los actores de amenazas obtener un control total sobre el punto final objetivo.

Transparent Tribe, activa desde 2013, ha utilizado tácticas como la recolección de credenciales y la distribución de malware, y a menudo distribuye instaladores manipulados de aplicaciones del gobierno indio, como la autenticación multifactor Kavach. También han convertido en armas marcos de comando y control (C2) de código abierto como Mythic.

En una señal de que este grupo de hackers ha centrado su atención en los sistemas Linux, Zscaler señaló que encontraron un pequeño conjunto de archivos de entrada de escritorio que facilitan la ejecución de binarios ELF basados en Python. Estos incluyen GLOBSHELL para extraer archivos y PYSHELLFOX para robar datos de sesión del navegador Mozilla Firefox.