APT chinês visa a Coreia do Sul em campanha plurianual

Tem havido um extenso esforço de espionagem cibernética patrocinado pelo Estado chinês que se estende por vários anos, visando entidades acadêmicas, políticas e governamentais sul-coreanas.

O Grupo Insikt da Recorded Future, operando sob o codinome TAG-74, identificou esta campanha. Ligaram o adversário à inteligência militar chinesa e expressaram preocupações relativamente ao seu impacto nas organizações académicas, aeroespaciais, de defesa, governamentais, militares e políticas sul-coreanas, japonesas e russas.

A empresa de cibersegurança caracterizou o ataque às instituições académicas sul-coreanas como parte da estratégia mais ampla da China para se envolver no roubo de propriedade intelectual e aumentar a sua influência, particularmente à luz da sua relação estratégica com os Estados Unidos.

Arquivos de ajuda usados como isca

O APT chinês emprega técnicas de engenharia social, utilizando arquivos Microsoft Compiled HTML Help (CHM) como isca. Esses arquivos apresentam uma versão personalizada do backdoor do Visual Basic Script de código aberto chamado ReVBShell. Posteriormente, esse backdoor facilita a implantação do trojan de acesso remoto Bisonal.

O ReVBShell foi projetado para permanecer inativo por um período específico, com a capacidade de ajustar esse intervalo por meio de comandos remotos. Ele também emprega codificação Base64 para ocultar suas comunicações de comando e controle (C2).

O uso do ReVBShell foi associado a dois outros clusters relacionados à China, conhecidos como Tick e Tonto Team. Em abril de 2023, o ASEC (AhnLab Security Emergency Response Center) detectou uma sequência de infecção idêntica ligada ao Tonto Team.

Bisonal, o trojan de acesso remoto fornecido pelo ReVBShell, é uma ferramenta versátil capaz de realizar diversas tarefas, incluindo coleta de informações, execução de comandos, gerenciamento de processos, transferências e exclusões de arquivos.

O TAG-74 está intimamente ligado ao Tick, ressaltando a prática predominante de compartilhamento de ferramentas entre grupos de ameaças chineses.

A Recorded Future enfatizou que a campanha TAG-74 reflete o compromisso duradouro do grupo em coletar inteligência de alvos sul-coreanos durante um longo período.