Kinesisk APT retter seg mot Sør-Korea i flerårig kampanje
Det har vært en omfattende kinesisk statsstøttet cyberspionasjeinnsats som strekker seg over flere år, rettet mot sørkoreanske akademiske, politiske og statlige enheter.
Insikt Group fra Recorded Future, som opererer under kodenavnet TAG-74, har identifisert denne kampanjen. De har koblet motstanderen til kinesisk militær etterretning og har uttrykt bekymring angående dens innvirkning på sørkoreanske, japanske og russiske akademiske, romfarts-, forsvars-, statlige, militære og politiske organisasjoner.
Nettsikkerhetsselskapet har karakterisert målrettingen av sørkoreanske akademiske institusjoner som en del av Kinas bredere strategi for å engasjere seg i tyveri av intellektuell eiendom og øke sin innflytelse, spesielt i lys av dets strategiske forhold til USA.
Hjelpefiler som brukes som agn
Den kinesiske APT bruker sosiale ingeniørteknikker, og bruker Microsoft Compiled HTML Help (CHM)-filer som agn. Disse filene introduserer en tilpasset versjon av åpen kildekode Visual Basic Script-bakdøren kalt ReVBShell. Denne bakdøren letter deretter distribusjonen av Bisonal ekstern tilgangstrojaner.
ReVBShell er designet for å forbli i dvale i en spesifisert periode, med muligheten til å justere dette intervallet gjennom fjernkommandoer. Den bruker også Base64-koding for å skjule kommando-og-kontroll-kommunikasjonen (C2).
Bruken av ReVBShell har blitt assosiert med to andre Kina-relaterte klynger kjent som Tick og Tonto Team. I april 2023 oppdaget ASEC (AhnLab Security Emergency Response Center) en identisk infeksjonssekvens knyttet til Tonto Team.
Bisonal, fjerntilgangstrojaneren levert av ReVBShell, er et allsidig verktøy som kan utføre ulike oppgaver, inkludert informasjonsinnsamling, kommandoutførelse, prosessbehandling, filoverføringer og filsletting.
TAG-74 er nært knyttet til Tick, og understreker den utbredte praksisen med å dele verktøy blant kinesiske trusselgrupper.
Recorded Future har understreket at TAG-74-kampanjen gjenspeiler gruppens varige forpliktelse til å samle etterretning fra sørkoreanske mål over en lengre periode.
