Η ομάδα APT που αναφέρεται ως Evasive Panda έχει παρατηρηθεί να στοχεύει μια διεθνή μη κυβερνητική οργάνωση (ΜΚΟ) στην ηπειρωτική Κίνα με κακόβουλο λογισμικό που παρέχεται μέσω καναλιών ενημέρωσης νόμιμων εφαρμογών όπως το Tencent QQ.
Οι αλυσίδες επίθεσης έχουν σχεδιαστεί για να διανέμουν ένα πρόγραμμα εγκατάστασης Windows για κακόβουλο λογισμικό MgBot, δήλωσε ο ερευνητής ασφάλειας της ESET Facundo Muñoz σε μια νέα έκθεση που δημοσιεύτηκε σήμερα. Η δραστηριότητα ξεκίνησε τον Νοέμβριο του 2020 και συνεχίστηκε όλο το 2021.
Η ομάδα Evasive Panda, γνωστή και ως Bronze Highland and Daggerfly, είναι μια κινεζόφωνη ομάδα APT στην οποία έχουν αποδοθεί μια σειρά επιθέσεων κυβερνοκατασκοπείας που στοχεύουν διάφορες οντότητες στην Κίνα, το Χονγκ Κονγκ και άλλες χώρες που βρίσκονται στην Ανατολική και Νότια Ασία τουλάχιστον από τον Δεκέμβρη του 2012.
Το σήμα κατατεθέν της ομάδας είναι η χρήση τουcustom MgBot modular malware framework, το οποίο είναι σε θέση να λαμβάνει πρόσθετα components εν κινήσει για να επεκτείνει τις δυνατότητές του στη συλλογή πληροφοριών.
Μερικές από τις εξέχουσες δυνατότητες του κακόβουλου λογισμικού περιλαμβάνουν την κλοπή αρχείων, την καταγραφή πληκτρολογήσεων, τη συλλογή δεδομένων από το πρόχειρο, την εγγραφή ροών ήχου και την κλοπή credentials από web browsers
Η ESET, η οποία ανακάλυψε την καμπάνια τον Ιανουάριο του 2022 μετά τη χρήση μιας νόμιμης κινεζικής εφαρμογής για την ανάπτυξη ενός προγράμματος εγκατάστασης για το backdoor MgBot, είπε ότι οι στοχευμένοι χρήστες βρίσκονταν στις επαρχίες Gansu, Guangdong και Jiangsu και είναι μέλη μιας διεθνούς ΜΚΟ που δεν κατονομάζεται.
Η trojanized εφαρμογή είναι το πρόγραμμα ενημέρωσης λογισμικού πελάτη της Tencent QQ των Windows (“QQUrlMgr.exe”) που φιλοξενείται στο domain “update.browser.qq[.]com.” Δεν είναι αμέσως σαφές πώς ο απειλητικός παράγοντας κατάφερε να παραδώσει το implant μέσω νόμιμων ενημερώσεων.
Ωστόσο, επισημαίνει ένα από τα δύο σενάρια, έναν συμβιβασμό της εφοδιαστικής αλυσίδας των update servers της Tencent QQ ή μια περίπτωση adversary-in-the-middle (AitM), όπως αναφέρθηκε από την Kaspersky τον Ιούνιο του 2022, στην οποία εμπλέκεται ένα κινεζικό πλήρωμα hacking με το όνομα LuoYu.
Τα τελευταία χρόνια, πολλές επιθέσεις στην αλυσίδα εφοδιασμού λογισμικού έχουν ενορχηστρωθεί από ομάδες εθνικών κρατών από τη Ρωσία, την Κίνα και τη Βόρεια Κορέα. Η ικανότητα να αποκτήσουν γρήγορα ένα μεγάλο κακόβουλο αποτύπωμα δεν έχει χαθεί από αυτούς τους εισβολείς, οι οποίοι στοχεύουν όλο και περισσότερο την αλυσίδα εφοδιασμού IT για να παραβιάσουν τα εταιρικά περιβάλλοντα.
Πηγή πληροφοριών: thehackernews.com
 στην ηπειρωτική Κίνα...){kind=link}