نظرة ثاقبة على التقسيم الفرعي لقبيلة الشفافة الذي تم نسبه بشكل غير صحيح لسنوات.
المقدمة
الشفاء السريع threat intelكشف فريق التحقيق مؤخرًا عن أدلة على وجود تهديد متقدم مستمر (APT) ضد القوات المسلحة الهندية. ويُظهر تحليلنا أن العديد من الحملات والهجمات القديمة التي وقعت خلال العام الماضي مرتبطة بعملية "سايد كوبي" التي نفذتها شركات اتصالات دولية مشتركة.
النتائج الرئيسية
- عملية SideCopy نشطة منذ أوائل عام 2019، حتى الآن.
- لقد استهدفت هذه العملية الإلكترونية قوات الدفاع الهندية وأفراد القوات المسلحة فقط.
- يتم تطوير وحدات البرامج الضارة التي يتم رؤيتها باستمرار ويتم إصدار وحدات محدثة بعد استطلاع بيانات الضحية.
- يقوم الممثلون بتتبع اكتشافات البرامج الضارة وتحديث الوحدات النمطية عند اكتشافها بواسطة AV.
- تنتمي جميع CnC تقريبًا إلى Contabo GmbH وأسماء الخوادم مشابهة لأسماء الأجهزة الموجودة في تقرير القبيلة الشفافة.
- يقوم هذا الفاعل بالتهديد بتضليل مجتمع الأمن عن طريق نسخ TTPs التي تشير إلى مجموعة Sidewinder APT.
- نحن نشتبه في أن هذا الفاعل التهديدي لديه روابط مع مجموعة Transparent Tribe APT.
ملخص:
قبل بضعة أشهر، قام نظام الكشف السلوكي من الجيل التالي الخاص بشركة Quick Heal بتنبيهك إلى بعض العمليات التي تقوم بتنفيذ HTA من بعض المواقع الإلكترونية غير المشهورة.
لقد قمنا بإنشاء قائمة بعناوين URL، المتصلة من mshta.exe، عبر عملاء متعددين:
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Armed-Forces-Spl-Allowance-Order/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Defence-Production-Policy-2020/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Images/8534
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/IncidentReport/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/ParaMil-Forces-Spl-Allowance-Order/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Req-Data/html
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Sheet_Roll/html
hxxps://demo[.]smart-school[.]in/uploads/staff_documents/9/Sheet_Roll/html
hxxps://demo[.]smart-school[.]in/uploads/student_documents/12/css/
hxxps://drivetoshare[.]com/mod[.]gov[.]in_dod_sites_default_files_Revisedrates/html
تم إرسال العناصر المميزة إلى أهداف في وحدات الدفاع الهندية وأفراد القوات المسلحة.
لقد بدأنا بتتبع هذه الحملة لأنها كانت تستهدف المنظمات الهندية المهمة.
يمكن تتبع آثار هذه العملية منذ أوائل عام ٢٠١٩ وحتى الآن. حتى الآن، رصدنا ثلاث عمليات تسلسل عدوى.
كان ناقل العدوى الأولي في سلسلتين من هذه السلاسل هو ملف LNK، والذي جاء من بريد عشوائي خبيث. ولكن في إحدى الحالات، لاحظنا أن المهاجمين استخدموا هجوم حقن القالب وثغرة محرر المعادلات (CVE-2017-11882) كمتجه عدوى أولي. على الرغم من اختلاف ناقل العدوى الأولي في الحالة الثالثة، إلا أن الحمولة النهائية مماثلة للسلسلتين الأوليين.
ستوفر الصور أدناه نظرة عامة حول إصابة البرامج الضارة في أجهزة الضحية.
سلسلة العدوى – الإصدار 1:
سلسلة العدوى – الإصدار 2:
سلسلة العدوى – الإصدار 3:
لقد قدمنا تحليلاً متعمقاً لكل وحدة من هذه الوحدات في أحدث تقرير لنا والذي يمكن الاطلاع عليه هنا.
تُقدم الخلفية والتحليل في هذه الورقة تفاصيل جنائية شاملة ومفيدة لرؤيتنا الحالية حول استخدام البرمجيات الخبيثة في هذه العملية. وقد عرضنا جميع العوامل التي أدت إلى نسبنا.
خبراء الموضوع:
كالبيش مانتري، باحث أمني رئيسي
باوان تشودهاري، عالم أبحاث التهديدات
جوتام تريباثي، باحث أمني أول
