'Mimi' olarak bilinen Çin pazarına odaklanan platformlar arası bir anlık messenger uygulamasının sürümleri, Linux ve macOS sistemlerinden veri çalmak için kullanılabilecek yeni bir arka kapı (RShell olarak adlandırılan) sunmak için truva attı.
Sekoia'nın Tehdit ve Algılama Araştırma Ekibi, uygulamanın MacOS 2.3.0 sürümünün 26 Mayıs 2022'den bu yana neredeyse dört aydır geri yüklendiğini söylüyor.
APT27 Çin destekli tehdit grubuna bağlı Hyperbro Uzaktan Access Trojan (RAT) kötü amaçlı yazılım için komut ve kontrol (C2) altyapısını analiz ederken bu uygulamaya alışılmadık bağlantıları fark ettikten sonra bunu keşfettiler.
Trendmicro ayrıca aynı kampanyayı tespit ettiğini bildirdi ve Haziran 2021'de en eski Linux RShell örneğiyle Mimi'nin Linux'u (RShell ile) ve Windows'u (Hyperbro ile) hedefleyen eski truva atışlarını bulduğunu ve ilk kurbanın Temmuz 2021'in ortalarında bildirildiğini söyledi. .
Mimi'nin kaynak koduna implante edilen kötü amaçlı JavaScript kodu, önce uygulamanın bir Mac cihazında çalışıp çalışmadığını kontrol eder ve ardından Sekoia'nın keşfettiği gibi RShell arka kapısını indirir ve yürütür.
Başlatıldıktan sonra, kötü amaçlı yazılım C2 sunucusuna sistem bilgilerini hasat edip gönderecek ve APT27 tehdit aktörlerinden komutları bekleyecektir.
Saldırganlar bunu klasörleri ve dosyaları listelemek ve ödün verilen sistemlere dosyaları okumak, indirmek ve yazmak için kullanabilir. Arka kapı ayrıca, C2 sunucusuna dosya göndermesini talimat veren bir yükleme komutu desteği ile birlikte gelir.
Kötü amaçlı yazılım, aynı IP adresi aralığı ve ortak taktikler (Stealthytrident Operasyonunda Backdooring Masaüstü Mesajlaşma Uygulaması ve Dean Edwards JavaScript Packer ile kötü niyetli kod paketleme) kullanılarak üst üste binen altyapıya dayanarak APT27 ile ilişkilendirildi.
Araştırmacılar, "Bu aşamada, Sekoia bu kampanyanın amacını değerlendiremiyor. Bu uygulamanın Çin'deki kullanımı düşük göründüğü için, hedefli bir gözetim aracı olarak geliştirilmesi mantıklı." Dedi.
Diyerek şöyle devam etti: "Ayrıca, operatörler tarafından yürütülen sosyal mühendisliğin ardından, hedeflenen kullanıcıların bu başvuruyu indirmeleri ve Çin yetkililerinin sansürünü atlatmaları için teşvik edildiği muhtemeldir."
Apt27 (diğer adıyla Emissary Panda, Iron Tiger ve Luckymouse), on yıldan fazla bir süredir (en az 2010'dan beri) aktif olan Çin destekli bir tehdit grubudur ve siber casusluk ve bilgi hırsızlığı kampanyalarına odaklanmasıyla bilinir.
Mart 2021'den bu yana, grup Hyperbro Rat dahil birkaç kötü amaçlı yazılım suşuyla savunmasız Zoho Ad Kendinden Service Plus yazılımı - bulut uygulamaları ve Active Directory için bir şifre yönetimi çözümü olan sunucuları ihlal ediyor ve bulaşıyor.
Bu saldırılar, savunma, sağlık, enerji ve teknoloji dahil olmak üzere dünya çapında kritik sektörlerden en az dokuz varlığı tehlikeye attı.
Ocak ayında, BFV Alman Yerli İstihbarat Hizmetleri (Bundesamt für verfassungsschutz'un kısaltması) da aynı taktiği kullanan Alman ticari organizasyonlarına karşı APT27 saldırıları konusunda uyardı.
APT27 ve Çin destekli diğer tehdit grupları da geçmişte, Mart 2021'in başlarından itibaren proxylogon hatalarından yararlanan ve dünya çapında eşsiz Microsoft Exchange sunucularından veri çalmalarına izin veren saldırılara bağlandı.
Yeni 'Lightning Framework' Linux kötü amaçlı yazılım, rootkits, backroors yükler
Yeni CloudMensis Kötü Yazılım Backdroors Macs kurbanların verilerini çalmak için
Yeni gizli yörünge kötü amaçlı yazılım, Linux cihazlarından verileri çalıyor
Çinli hackerlar arka kapı govt, savunma orgs için yeni windows kötü amaçlı yazılım kullanıyor
Microsoft Exchange Sunucuları IIS Backdoors ile giderek daha fazla hacklendi
Kaynak: Bleeping Computer