NAPLISTENER Malware koblet til APT Kjent som REF2924
Gruppen kjent som REF2924 har nylig blitt oppdaget ved hjelp av en ny type skadelig programvare, som har fått navnet NAPLISTENER av Elastic Security Labs.
Skadevaren er en HTTP-lytter opprettet ved hjelp av C# og er designet for å unngå deteksjonstiltak som er avhengige av nettverksanalyse. REF2924 har vært knyttet til flere angrep i Sør- og Sørøst-Asia, inkludert mot en enhet i Afghanistan og utenrikskontoret til et ASEAN-medlem i 2022. Denne gruppen ser ut til å ha likheter med en annen hackergruppe kalt ChamelGang, som ble dokumentert av Positive Technologies i oktober 2021. REF2924s angrep har utnyttet internetteksponerte Microsoft Exchange-servere ved å bruke bakdører som DOORME, SIESTAGRAPH og ShadowPad.
DOORME er en IIS-bakdørsmodul som gir ekstern tilgang til et omstridt nettverk og muliggjør kjøring av ytterligere skadelig programvare og verktøy. SIESTAGRAPH bruker Microsofts Graph API for kommando-og-kontroll, med muligheten til å kjøre vilkårlige kommandoer og laste opp og laste ned filer. ShadowPad er en privat solgt modulær bakdør som muliggjør vedvarende tilgang til kompromitterte datamaskiner og tillater utførelse av skallkommandoer og nyttelast.
Det er interessant å merke seg at bruken av ShadowPad antyder en potensiell kobling til kinesiske hackergrupper, som har brukt denne skadevare i forskjellige kampanjer gjennom årene. NAPLISTENER er nå lagt til REF2924s ekspanderende arsenal av skadelig programvare, og den forkledd seg som en legitim tjeneste i et forsøk på å unngå oppdagelse og etablere vedvarende tilgang.
Hva er APT-er eller avanserte vedvarende trusselaktører?
APT-er, eller Advanced Persistent Threat-aktører, er svært dyktige og velfinansierte grupper av angripere som bruker sofistikerte metoder for å få uautorisert tilgang til datanettverk og -systemer over lengre perioder. I motsetning til tradisjonelle hackere som kan utføre angrep for økonomisk vinning eller beryktethet, har APT-aktører ofte spesifikke politiske eller strategiske mål, for eksempel å stjele sensitive data, intellektuell eiendom eller konfidensiell informasjon.
APT-er bruker vanligvis en rekke teknikker for å kompromittere systemer, inkludert sosial ingeniørkunst, spyd-phishing og malware-angrep. Når de får tilgang, bruker de en rekke taktikker for å opprettholde fotfeste på nettverket, for eksempel å installere bakdører, opprette skjulte brukerkontoer eller utnytte sårbarheter. De kan også bruke en rekke avanserte teknikker for å unngå oppdagelse, for eksempel filløs skadelig programvare, kryptering eller kommando- og kontrollinfrastruktur (C2) som er vanskelig å spore.
APT er ofte knyttet til nasjonalstatlige aktører, selv om de også kan brukes av kriminelle organisasjoner eller andre grupper med betydelige ressurser og motivasjoner. De kan utgjøre en betydelig trussel for organisasjoner, siden de kan være i stand til å forbli uoppdaget i lange perioder, slik at de kan stjele verdifull informasjon eller forårsake betydelig skade på systemer. Som sådan er det viktig for organisasjoner å være klar over trusselen fra APT-er og å ta skritt for å beskytte seg mot denne typen angrep.
