Firebird Bakdør Foreløpig knyttet til indisk APT
Gruppen av individer kjent som DoNot Team har blitt koblet til utplasseringen av en ny .NET-basert bakdør kalt Firebird, som har vært rettet mot et begrenset antall mål i Pakistan og Afghanistan.
Cybersikkerhetsforskere uttalte at angrepssekvensene også er satt opp for å introdusere en nedlaster kalt CSVtyrei, kalt som sådan på grunn av dens likhet med Vtyrei. Enkelte deler av den oppgitte koden så ut til å være ikke-operative, noe som indikerer pågående utviklingsinnsats.
Vtyrei (også kjent som BREEZESUGAR) refererer til en innledende nyttelast- og nedlastningsbelastning som trusselaktøren tidligere hadde brukt for å distribuere et skadevarerammeverk kjent som RTY.
DoNot Team, som også går under aliasene APT-C-35, Origami Elephant og SECTOR02, antas å stamme fra India. Angrepene deres involverer bruk av spyd-phishing-e-poster og useriøse Android-apper for å spre skadelig programvare.
Den siste evalueringen fra forskere utvider en undersøkelse av de doble angrepskampanjene til denne trusselaktøren i april 2023, der de distribuerte Agent K11- og RTY-rammeverket.
ElizaRAT brukt i angrep på India
Denne avsløringen kommer i kjølvannet av at Zscaler ThreatLabz avslører nye ondsinnede aktiviteter utført av den pakistansk-baserte Transparent Tribe (også kjent som APT36). Denne gruppen har rettet seg mot sektorer av den indiske regjeringen ved å bruke et oppdatert arsenal av skadelig programvare, som inkluderer en tidligere udokumentert Windows-trojan ved navn ElizaRAT.
ElizaRAT leveres som en .NET-binær og etablerer en kommunikasjonskanal gjennom Telegram, slik at trusselaktører kan få full kontroll over det målrettede endepunktet.
Transparent Tribe, aktiv siden 2013, har brukt taktikker som innhenting av legitimasjon og distribusjon av skadelig programvare, og distribuerer ofte manipulerte installatører av indiske regjeringsapplikasjoner som Kavach multifaktorautentisering. De har også bevæpnet åpen kildekode kommando-og-kontroll (C2) rammeverk som Mythic.
Som et tegn på at denne hackergruppen har rettet oppmerksomheten mot Linux-systemer, bemerket Zscaler at de fant et lite sett med skrivebordsoppføringsfiler som letter utførelse av Python-baserte ELF-binærfiler. Disse inkluderer GLOBSHELL for å eksfiltrere filer og PYSHELLFOX for å stjele øktdata fra Mozilla Firefox-nettleseren.
