ROAMINGMOUSE kártevő: Betolakodó Ázsia digitális folyosóin

Egy újfajta kiberkémkedési eszköz

Egy új rosszindulatú szoftver, a ROAMINGMOUSE, nemrég jelent meg a kiberkémkedés világában. Csendben beágyazódik a rendszerekbe, és azonnali észlelés nélkül gyűjt információkat. A szenzációs zsarolóvírusokkal vagy a globális hírekbe kerülő zavaró kibertámadásokkal ellentétben a ROAMINGMOUSE a behatolás egy finomabb és kiszámítottabb formáját képviseli – olyat, amely rávilágít az államok által támogatott kiberkampányok egyre kifinomultabb jellegére.

A rosszindulatú programok mögött álló szereplők

A ROAMINGMOUSE nem önálló fenyegetés, hanem egy szélesebb körű kémkedési művelet része, amelyről úgy vélik, hogy a MirrorFace néven ismert fenyegető szereplő szervezi. Ez a csoport, amelyet Earth Kasha álnéven is nyomon követnek, kapcsolatban áll a nagyobb és jól dokumentált kínai kémkedési egységhez, az APT10-hez. Legújabb kampányuk elsősorban Japán és Tajvan kormányzati és közintézményeit veszi célba – két egyre növekvő geopolitikai jelentőségű régióét.

Megtévesztő kezdet: Az adathalász telepítés

A művelet középpontjában egy támadáslánc áll, amely a célzott adathalászattal kezdődik – egy olyan technikával, amely félrevezető e-maileket használ, hogy a címzetteket rosszindulatú tartalmak megnyitására bírja. Ebben az esetben az e-mailek ügyesen álcázottak, gyakran korábban feltört, de legitim fiókokból származnak. Az e-mailekbe egy Microsoft OneDrive URL van beágyazva, amely egy csapdával ellátott Excel-dokumentumot tartalmazó ZIP fájlt tölt le. A dokumentum megnyitása után a ROAMINGMOUSE, egy makró-képes kártevő-ledobó futtatja a művelet következő lépéseit.

VONALÓEGÉR Akcióban

A ROAMINGMOUSE elősegítőként működik. Dekódol egy beágyazott, kódolt ZIP fájlt, és egy sor fájlt csomagol ki az áldozat lemezére. Ezek között vannak legitim Windows binárisok és dinamikus csatolású függvénytárak (DLL-ek), de egy rejtett hasznos adat is: az ANEL hátsó ajtó, egy visszatérő eszköz az Earth Kasha kémkedési eszköztárában. A DLL oldalratöltés néven ismert technikával a rosszindulatú program ráveszi a legitim programokat a rosszindulatú kód végrehajtására, ezáltal megkerülve az alapvető biztonsági észlelést.

Az ANEL továbbfejlesztett képességei

Az ANEL jelenlegi verziójában különösen figyelemre méltó a továbbfejlesztett képességei. A legújabb változat mostantól közvetlenül a rendszermemóriában képes Beacon Object Files (BOF) fájlokat futtatni. A BOF-ok speciális programok, amelyek a Cobalt Strike kiterjesztésére szolgálnak, amely egy legitim eszköz, amelyet a támadók gyakran használnak utólagos támadásokhoz. Ez lehetővé teszi a fenyegető szereplő számára, hogy alaposabban felfedezze a fertőzött rendszereket – képernyőképeket készítsen, katalogizálja a futó folyamatokat és megvizsgálja a hálózati tartománystruktúrákat.

Többrétegű kártevőkampány

Ráadásul ez a kampány nem csak egyetlen rosszindulatú programról szól. A ROAMINGMOUSE-t arra használják, hogy utat nyitjon más eszközöknek, köztük a NOOPDOOR-nak (más néven HiddenFace), egy másik kifinomult hátsó ajtónak, amely DNS-over-HTTPS (DoH) protokollt használ. Ez a technika titkosítja a webes forgalmat, megnehezítve a hálózati biztonsági eszközök számára, hogy észrevegyék és blokkolják a rosszindulatú program kommunikációját a parancs- és vezérlőszervereivel.

Következmények a nagy értékű célpontok esetében

A kampány következményei jelentősek, bár nem feltétlenül riasztóak a nagyközönség számára. Amit feltár, az a kiberkonfliktus-taktikák folyamatos eltolódása – a zavaró támadásoktól a csendes, célzott kémkedésig. A kormányzati szervek és a kritikus infrastruktúrával foglalkozó szervezetek az elsődleges célpontok, különösen azok, amelyek a nemzetbiztonsággal, az infrastrukturális tervekkel és a szellemi tulajdonnal kapcsolatos érzékeny információkkal rendelkeznek.

Reagálás a fenyegetettségi környezetre

Azzal, hogy mélyen beágyazódnak az intézményi rendszerekbe, az olyan fenyegetéseket elkövető szereplők, mint az Earth Kasha, a lehető leghosszabb ideig igyekeznek észrevétlenek maradni, és olyan adatokat szereznek el, amelyek stratégiai, politikai vagy gazdasági döntéseket hozhatnak. Bár egyetlen olyan incidensről sem számoltak be, amely nyilvánvaló kárt okozott volna, az ilyen hosszú távú megfigyelés kumulatív hatása befolyásolhatja a regionális stabilitást, a kereskedelmi tárgyalásokat vagy a szakpolitikai fejlesztést.

Felhívás az éberségre és a rugalmasságra

Az ilyen szintű fenyegetéssel szembesülő szervezeteknek azt tanácsoljuk, hogy erősítsék meg kiberbiztonsági helyzetüket. Ez magában foglalja a zéró bizalom elveinek alkalmazását, a fejlett fenyegetésészlelő eszközök használatát, a belső tevékenységek figyelését az anomáliák szempontjából, valamint folyamatos képzést nyújt az alkalmazottaknak az adathalász kísérletek felismerése érdekében. Ebben az összefüggésben a kiberbiztonság kevésbé a megelőzésről szól, és inkább a korai észlelésről és a rugalmas reagálásról.

Lényeg

A ROAMINGMOUSE nem a mindennapi felhasználók számára jelent közvetlen veszélyre figyelmeztetést, hanem emlékeztetőül szolgál a digitális fenyegetések folyamatosan változó természetére. Ahogy a kiberműveletek célzottabbá és technikailag fejlettebbé válnak, úgy kell fejlődniük a kritikus rendszereket védő védelmi mechanizmusoknak is. Csendes és szerény, ez az új kártevő-kampány azt mutatja, hogy a kémkedés modern korában a legveszélyesebb fenyegetések azok lehetnek, amelyek egyáltalán nem jelentik be magukat.