Вредоносное ПО ROAMINGMOUSE: нарушитель в цифровых коридорах Азии

Новый вид инструмента кибершпионажа

Недавно в мире кибершпионажа появилась новая вредоносная программа, известная как ROAMINGMOUSE. Она незаметно внедряется в системы и собирает разведданные без немедленного обнаружения. В отличие от нашумевших программ-вымогателей или разрушительных кибератак, которые попадают в мировые заголовки, ROAMINGMOUSE представляет собой более тонкую и рассчитанную форму вторжения, которая подчеркивает растущую изощренность поддерживаемых государством киберкампаний.

Действующие лица, стоящие за вредоносным ПО

ROAMINGMOUSE — это не отдельная угроза, а часть более масштабной шпионской операции, которая, как полагают, организована субъектом угрозы, известным как MirrorFace . Эта группа, также отслеживаемая под псевдонимом Earth Kasha, связана с более крупным и хорошо документированным китайским шпионским подразделением APT10. Их последняя кампания в первую очередь нацелена на правительственные и общественные учреждения в Японии и Тайване — двух регионах, имеющих растущее геополитическое значение.

Обманчивое начало: схема фишинга

В основе этой операции лежит цепочка атак, которая начинается с целевого фишинга — техники, которая использует вводящие в заблуждение электронные письма, чтобы обмануть получателей и заставить их открыть вредоносный контент. В этом случае электронные письма искусно замаскированы, часто исходят из ранее скомпрометированных, но законных учетных записей. В электронные письма встроен URL-адрес Microsoft OneDrive, который загружает ZIP-файл, содержащий заминированный документ Excel. Этот документ после открытия запускает ROAMINGMOUSE, вредоносный дроппер с поддержкой макросов, который инициирует следующие шаги операции.

ROAMINGMOUSE в действии

ROAMINGMOUSE выступает в качестве посредника. Он декодирует встроенный закодированный ZIP-файл и извлекает ряд файлов на диск жертвы. Среди них есть легитимные двоичные файлы Windows и библиотеки динамической компоновки (DLL), а также скрытая полезная нагрузка: бэкдор ANEL, повторяющийся инструмент в шпионском инструментарии Earth Kasha. Злоупотребляя техникой, известной как загрузка DLL, вредоносная программа обманывает легитимные программы, заставляя их выполнять свой вредоносный код, тем самым обходя базовое обнаружение безопасности.

Расширенные возможности ANEL

Что особенно примечательно в текущей версии ANEL, так это ее расширенные возможности. Последняя версия теперь может выполнять файлы Beacon Object Files (BOF) непосредственно в системной памяти. BOF — это специализированные программы, разработанные для расширения Cobalt Strike, легитимного инструмента, который злоумышленники часто повторно используют для действий после эксплуатации. Это позволяет злоумышленнику более тщательно исследовать зараженные системы — делать снимки экрана, каталогизировать запущенные процессы и изучать структуры сетевых доменов.

Многоуровневая вредоносная кампания

Более того, эта кампания касается не только одного вредоносного ПО. ROAMINGMOUSE используется для прокладывания пути для других инструментов, включая NOOPDOOR (также известный как HiddenFace), еще один сложный бэкдор, использующий DNS-over-HTTPS (DoH). Эта техника шифрует веб-трафик, что затрудняет обнаружение и блокировку средств сетевой безопасности коммуникаций вредоносного ПО с его командно-контрольными серверами.

Последствия для высокоценных целей

Последствия этой кампании значительны, хотя и не обязательно тревожны для широкой общественности. Она раскрывает продолжающийся сдвиг в тактике киберконфликтов — от разрушительных атак к тихому, целенаправленному шпионажу. Главными целями являются государственные структуры и организации критической инфраструктуры, особенно те, которые хранят конфиденциальную информацию, связанную с национальной безопасностью, планами по инфраструктуре и интеллектуальной собственностью.

Реагирование на ландшафт угроз

Внедряясь глубоко в институциональные системы, субъекты угроз, такие как Earth Kasha, стремятся оставаться незамеченными как можно дольше, перекачивая данные, которые могут помочь в принятии стратегических, политических или экономических решений. Хотя не было зарегистрировано ни одного случая нарушения, который нанес бы явный ущерб, кумулятивный эффект такого долгосрочного наблюдения может повлиять на региональную стабильность, торговые переговоры или разработку политики.

Призыв к бдительности и стойкости

Организациям, сталкивающимся с таким уровнем угроз, рекомендуется усилить свою позицию в области кибербезопасности. Это включает в себя принятие принципов нулевого доверия, использование передовых инструментов обнаружения угроз, мониторинг внутренней активности на предмет аномалий и предоставление постоянного обучения, чтобы помочь сотрудникам распознавать попытки фишинга. В этом контексте кибербезопасность становится не столько профилактикой, сколько ранним обнаружением и устойчивым реагированием.

Итог

ROAMINGMOUSE не является предупреждением о надвигающейся опасности для обычных пользователей, но служит напоминанием об эволюционирующей природе цифровых угроз. Поскольку кибероперации становятся все более целенаправленными и технически продвинутыми, то же самое должно происходить и с защитой критически важных систем. Тихая и скромная, эта новая вредоносная кампания показывает, что в современную эпоху шпионажа наиболее опасными угрозами могут быть те, которые вообще не заявляют о себе.