สรุป
ในช่วง 3 เดือนที่ผ่านมา เราสังเกตเห็นกิจกรรมที่เพิ่มขึ้นจาก APT36 ซึ่งเป็นกลุ่มก่อการร้ายไซเบอร์ที่เชื่อมโยงกับปากีสถาน เป้าหมายในครั้งนี้คือบุคลากรจากหน่วยงานด้านกลาโหมและหน่วยงานรัฐบาลอื่นๆ ในอินเดีย
ในการโจมตีระลอกล่าสุด กลุ่ม APT36 ใช้เทคนิคการล่อลวงด้วยเหยื่อ (honey trap) โดยใช้โปรไฟล์ปลอมของหญิงสาวสวยเพื่อล่อลวงให้เป้าหมายเปิดอีเมลหรือสนทนาผ่านแพลตฟอร์มส่งข้อความ ซึ่งท้ายที่สุดจะนำไปสู่การดาวน์โหลดมัลแวร์
ชื่อไฟล์แนบบางส่วนที่เราพบในการโจมตีตามธีมปัจจุบัน:
เมื่อเป้าหมายเปิดไฟล์แนบดังกล่าว มันจะดรอป Crimson RAT ที่ใช้ MSIL ซึ่ง APT36 เคยใช้ในการโจมตีหลายครั้งในอดีต RAT นี้ใช้สำหรับกิจกรรมขโมยข้อมูลและส่งไปยังเซิร์ฟเวอร์ CnC
ปฏิบัติการ ‘กับดักน้ำผึ้ง’
กองทัพอินเดียได้อธิบายกรณี "กับดักน้ำผึ้ง" ว่าเป็นอาวุธสงครามลูกผสมที่ข้าศึกใช้โจมตีข้ามพรมแดน ขณะนี้ APT36 กำลังใช้แนวคิดเดียวกันนี้เพื่อล่อเป้าหมาย
ภาพรวมแคมเปญ
แคมเปญนี้ยังคงใช้ห่วงโซ่การติดเชื้อแยกกันสองแบบ เทคนิคการติดเชื้อ APT36 ทั้งสองแบบนี้ยังคงเหมือนเดิมในช่วงสองสามปีที่ผ่านมา
ในเชนแรก อีเมลแบบสเปียร์ฟิชชิงจะมีเอกสารที่โหลดมาโครเป็นไฟล์แนบ เอกสารนี้มีหน้าที่รันโมดูลดรอปเปอร์ที่เริ่มต้นเครื่องมือ Crimson RAT เพื่อดำเนินกิจกรรมที่เป็นอันตราย
ในเชนที่สอง ไฟล์แนบอีเมลแบบสเปียร์ฟิชชิ่งจะมีโมดูลดรอปเปอร์อยู่ภายในไฟล์ zip โดยตรง ส่วนประกอบดรอปเปอร์นี้จะเปิดเอกสารล่อเหยื่อ และรันเครื่องมือ Crimson RAT ในเบื้องหลังเพื่อดำเนินการที่เป็นอันตราย
ห่วงโซ่การติดเชื้อแบบที่สองนั้นไม่ประสบความสำเร็จในองค์กร เนื่องจากไฟร์วอลล์มักจะบล็อกไฟล์ประเภท 'EXE' ภายในอีเมล เหตุผลหลักคือ การโจมตีนี้มุ่งเป้าไปที่บัญชีส่วนบุคคลของบุคคลที่เกี่ยวข้องกับภาคการป้องกันประเทศของอินเดีย
หนูแดง
Crimson RATยังคงเป็นอาวุธยอดนิยมของกลุ่ม APT36 เราได้เผยแพร่รายละเอียดเกี่ยวกับการโจมตีของ APT36 อีกครั้งเมื่อเดือนที่แล้ว ซึ่งวิธีการทำงานของมัลแวร์ยังคงเหมือนเดิม
สรุปพฤติกรรมของ RAT นี้
- กระบวนการ:
- กระบวนการรายการ
- กระบวนการฆ่า
- ดำเนินการคำสั่ง
- ไฟล์:
- ไดรฟ์ ไฟล์ และการสืบค้นไดเรกทอรี
- ลบไฟล์
- ดำเนินการไฟล์
- ค้นหานามสกุลไฟล์
- การแยกข้อมูลเมตา
- จับภาพหน้าจอ:
- ภาพหน้าจอแบบเดี่ยวและแบบต่อเนื่อง
- รับภาพขนาดย่อ ขนาดหน้าจอ
- การกรองข้อมูล:
- ดาวน์โหลดจาก C2
- อัพโหลดไปยัง C2
นี่คือการใช้งานฟังก์ชันบางอย่างในโค้ด Crimson RAT:
สรุป
เป็นที่ทราบกันดีว่า APT36 มุ่งเป้าไปที่องค์กรด้านกลาโหมและองค์กรสำคัญอื่นๆ ในภาคส่วนต่างๆ โดยทั่วไปแล้ว เป้าหมายของพวกเขาคือบุคคลและองค์กรที่มีผลประโยชน์เชิงกลยุทธ์ต่อประเทศเพื่อนบ้านทางตะวันตกของอินเดีย อย่างไรก็ตาม ในแคมเปญนี้ ที่น่าสนใจคือ หน่วยงานที่ตกเป็นเป้าหมายบางส่วนเป็นองค์กรที่ตั้งอยู่ในรัฐทางตะวันออกของอินเดีย! ในปีที่ผ่านมา นี่เป็นครั้งที่สองที่เราพบเห็น APT36 พุ่งเป้าไปที่องค์กรที่มีผลประโยชน์ต่อประเทศเพื่อนบ้านทางตะวันออกของอินเดีย
IOC ที่เกี่ยวข้องกับแคมเปญฮันนี่แทรป:
| 03E499D6E15817F5C7EF0F4F2FFD6D27
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|
92A16E790F69E68C393B3BEEA15E14AA
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|
ผู้เชี่ยวชาญเฉพาะด้าน:
ปาวันกุมาร์ ชอว์ธารี
กัลเปศ มนตรี
