Firebird Bakdörr Preliminärt kopplad till indiska APT

Gruppen av individer som kallas DoNot Team har kopplats till utplaceringen av en ny .NET-baserad bakdörr kallad Firebird, som har riktats mot ett begränsat antal mål i Pakistan och Afghanistan.

Cybersäkerhetsforskare uppgav att attacksekvenserna också är inställda för att introducera en nedladdare som heter CSVtyrei, namngiven som sådan på grund av dess likhet med Vtyrei. Vissa delar av den tillhandahållna koden verkade vara icke-operativa, vilket tyder på pågående utvecklingsinsatser.

Vtyrei (även känd som BREEZESUGAR) hänvisar till en initial nyttolast- och nedladdningsstam som hotaktören tidigare hade använt för att distribuera ett ramverk för skadlig programvara som kallas RTY.

DoNot Team, som också går under aliasen APT-C-35, Origami Elephant och SECTOR02, tros komma från Indien. Deras attacker involverar användning av spjutfiske-e-postmeddelanden och oseriösa Android-appar för att sprida skadlig programvara.

Den senaste utvärderingen av forskare utökar en undersökning av de dubbla attackkampanjerna av denna hotaktör i april 2023, där de distribuerade Agent K11- och RTY-ramverken.

ElizaRAT används vid attacker mot Indien

Detta avslöjande kommer i kölvattnet av att Zscaler ThreatLabz avslöjade nya skadliga aktiviteter utförda av den pakistanskbaserade Transparent Tribe (även känd som APT36). Denna grupp har riktat in sig på sektorer av den indiska regeringen med hjälp av en uppdaterad arsenal av skadlig programvara, som inkluderar en tidigare odokumenterad Windows-trojan vid namn ElizaRAT.

ElizaRAT levereras som en .NET-binär och etablerar en kommunikationskanal genom Telegram, vilket tillåter hotaktörer att få fullständig kontroll över den riktade slutpunkten.

Transparent Tribe, aktiv sedan 2013, har använt taktik som insamling av autentiseringsuppgifter och distribution av skadlig programvara, och distribuerar ofta manipulerade installatörer av indiska regeringsapplikationer som Kavach-multifaktorautentisering. De har också beväpnat open source command-and-control (C2) ramverk som Mythic.

Som ett tecken på att denna hackergrupp har riktat sin uppmärksamhet mot Linux-system, noterade Zscaler att de hittade en liten uppsättning skrivbordsingångsfiler som underlättar exekveringen av Python-baserade ELF-binärfiler. Dessa inkluderar GLOBSHELL för att exfiltrera filer och PYSHELLFOX för att stjäla sessionsdata från webbläsaren Mozilla Firefox.