何年もの間誤って帰属されてきた Transparent Tribe のサブディビジョンについての洞察。
イントロダクション
クイックヒールズ threat intel法務チームは最近、インド国防軍に対する高度な持続的脅威（APT）の証拠を発見しました。私たちの分析によると、過去1年間の多くの古いキャンペーンや攻撃は、共通のIOCによる「オペレーション・サイドコピー」に関連しています。
主な発見
- Operation SideCopy は 2019 年の初めから現在まで活動しています。
- このサイバー作戦はインドの国防軍と軍隊の隊員のみを標的にしている。
- 確認されているマルウェア モジュールは常に開発中であり、被害者のデータの偵察後に更新されたモジュールがリリースされます。
- 攻撃者はマルウェアの検出を追跡し、AV によって検出されたときにモジュールを更新します。
- ほぼすべてのCnCはContabo GmbHに属しており、サーバー名は、 透明な部族レポート.
- この脅威アクターは、Sidewinder APT グループを指す TTP をコピーすることで、セキュリティ コミュニティを誤解させています。
- この脅威アクターは Transparent Tribe APT グループと関係があると思われます。
概要
数か月前、Quick Heal の次世代動作検出システムは、評判の良くない Web サイトからの HTA を実行するいくつかのプロセスについて警告を発しました。
複数の顧客にわたる mshta.exe から接続された URL のリストを作成しました。
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Armed-Forces-Spl-Allowance-Order/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Defence-Production-Policy-2020/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Images/8534
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/IncidentReport/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/ParaMil-Forces-Spl-Allowance-Order/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Req-Data/html
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Sheet_Roll/html
hxxps://demo[.]smart-school[.]in/uploads/staff_documents/9/Sheet_Roll/html
hxxps://demo[.]smart-school[.]in/uploads/student_documents/12/css/
hxxps://drivetoshare[.]com/mod[.]gov[.]in_dod_sites_default_files_Revisedrates/html
ハイライトされたものは、インドの防衛部隊および軍隊の個人を対象に送信されました。
このキャンペーンは重要なインドの組織を標的にしていたため、私たちは追跡を始めました。
この活動の痕跡は2019年初頭から現在まで追跡可能です。これまでに3つの感染チェーンプロセスが確認されています。
2017つのチェーンの初期感染ベクトルは、マルスパムに由来するLNKファイルでした。しかし、11882つのケースでは、攻撃者がテンプレートインジェクション攻撃と数式エディタの脆弱性（CVE-XNUMX-XNUMX）を初期感染ベクトルとして利用していたことが確認されました。XNUMXつ目のケースでは初期感染ベクトルは異なりますが、最終的なペイロードは最初のXNUMXつのチェーンと同様です。
以下の画像は、被害者のマシンにおけるマルウェア感染の概要を示しています。
感染チェーン – バージョン1:
感染チェーン – バージョン2:
感染チェーン – バージョン3:
最新のレポートでは、これらの各モジュールについて詳細な分析を提供しています。レポートはこちらからご覧いただけます。
本稿の背景と分析は、今回の攻撃におけるマルウェアの使用に関する私たちの現在の見解を、フォレンジック分析に基づいた詳細な情報としてまとめたものです。また、攻撃者の特定に至ったすべての要因を記載しています。
主題専門家:
Kalpesh Mantri、主任セキュリティ研究員
パワン・チャウダリ、脅威研究科学者
ゴータム・トリパシー、シニアセキュリティ研究者
