Galyum devlet destekli hackleme grubu, Avrupa, Güneydoğu Asya ve Afrika'daki finans kurumlarına ve devlet kuruluşlarına karşı yeni bir 'pingpull' uzaktan erişim Truva atı kullanılarak tespit edildi.
Bu varlıklar Avustralya, Rusya, Filipinler, Belçika, Vietnam, Malezya, Kamboçya ve Afganistan'da bulunmaktadır.
Galyumun Çin'den geldiğine inanılıyor ve casusluk operasyonlarındaki telekomünikasyon, finans ve devlet sektörlerinin hedefleme kapsamı ülkenin çıkarlarına uyuyor.
Son kampanyalarda Gallium, Pingpull adlı yeni bir sıçan (uzaktan erişim Truvaan) kullanıyor, Unit42 (Palo Alto Networks) analistlerinin özellikle gizli olarak karakterize edildiği.
Pingpull kötü amaçlı yazılım, tehdit aktörlerine tehlikeye atılan makinede ters bir kabuk vermek için tasarlanmıştır ve bu da komutları uzaktan yürütmelerini sağlar.
Unit42, ICMP, HTTPS ve TCP olmak üzere farklı C2 iletişim protokolleri kullanan benzer işlevselliğe sahip üç farklı varyant örnekleyebilir.
Farklı C2 protokolleri, belirli ağ algılama yöntemlerinden/araçlarından kaçınmak olabilir, aktörler ön keşiflere dayalı uygun varyant kullanırlar.
Her üç durumda da, kötü amaçlı yazılım kendisini bir hizmet olarak yükler ve kullanıcıların sonlandırılmasını caydırmayı amaçlayan meşru bir hizmeti simüle eden bir açıklamaya sahiptir.
Her üç varyantın da desteklediği komutlar şunlardır:
Komutlar ve parametreleri, Beacon'un bir çift sert kodlanmış anahtar sayesinde şifresini çözebileceği AES şifreli formda C2'den gönderilir.
Birim 42'nin galyum operasyonlarını ortaya çıkarabildiği ve bunlarla bağlantı kurabildiği altyapı, bazıları 2020'nin sonlarına kadar olan 170'den fazla IP adresi içeriyor.
Microsoft, 2019'da grup hakkında uyardı ve o sırada telekomünikasyon hizmet sağlayıcılarıyla sınırlı bir hedefleme kapsamını vurguladı.
Son galyum kampanyalarının bu anlık görüntüsü, hackleme grubunun hala aktif ve gelişen bir tehdit olduğunu gösteren yeni bir sıçan ortaya çıkardı.
En son raporlara dayanarak, Galyum bu kapsamı Asya, Afrika, Avrupa ve Avustralya'da kilit hükümet kuruluşlarını ve finans kurumlarını içerecek şekilde genişletti.
Bu nedenle, tüm hayati kuruluşların zamanında tehdit tespiti için ünite 42 raporunda sağlanan uzlaşma göstergelerini kullanmaları tavsiye edilir.
Bilgisayar korsanları Rus Govt'u sahte pencerelerle iterek iten sıçanları hedeflemek
Çin Hacking Grubu Aoqin Dragon sessizce casusluk orgs on yıldır
Linux kötü amaçlı yazılımlar için yeni Windows alt sistemi tarayıcı Auth çerezlerini çalıyor
BPFDOOR: Gizli Linux kötü amaçlı yazılım, uzaktan erişim için güvenlik duvarlarını atlar
Çin Siber-İzin Grubu Moshen Dragon Hedefleri Asya Telcos
Kaynak: Bleeping Computer