Công ty mẹ Meta của Facebook tiết lộ rằng họ đã hành động chống lại hai hoạt động gián điệp ở Nam Á đã tận dụng các nền tảng truyền thông xã hội của mình để phát tán phần mềm độc hại cho các mục tiêu tiềm năng.
Nhóm hoạt động đầu tiên được công ty mô tả là “bền bỉ và có nguồn lực tốt” và được thực hiện bởi một nhóm hack được theo dõi dưới biệt danh Bitter APT (còn gọi là APT-C-08 hoặc T-APT-17) nhắm vào các cá nhân ở New Zealand, Ấn Độ, Pakistan và Vương quốc Anh
“Bitter đã sử dụng nhiều chiến thuật độc hại khác nhau để nhắm mục tiêu những người trực tuyến bằng kỹ thuật xã hội và lây nhiễm phần mềm độc hại vào thiết bị của họ”, Meta cho biết trong Báo cáo Đe dọa Đối thủ Hàng quý của mình. “Họ đã sử dụng kết hợp các dịch vụ rút gọn liên kết, tên miền độc hại, trang web bị xâm nhập và nhà cung cấp dịch vụ lưu trữ bên thứ ba để phân phối phần mềm độc hại của họ.”
Các cuộc tấn công liên quan đến việc kẻ đe dọa tạo ra các nhân vật hư cấu trên nền tảng, giả dạng là những phụ nữ trẻ hấp dẫn để cố gắng xây dựng lòng tin với các mục tiêu và dụ họ nhấp vào các liên kết không có thật đã triển khai phần mềm độc hại.
Nhưng trong một bước ngoặt thú vị, những kẻ tấn công đã thuyết phục nạn nhân tải xuống ứng dụng trò chuyện iOS thông qua Apple TestFlight, một dịch vụ trực tuyến hợp pháp có thể được sử dụng cho các ứng dụng thử nghiệm beta và cung cấp phản hồi cho các nhà phát triển ứng dụng.
“Điều này có nghĩa là tin tặc không cần phải dựa vào khai thác để phân phối phần mềm độc hại tùy chỉnh đến các mục tiêu và có thể sử dụng các dịch vụ chính thức của Apple để phân phối ứng dụng nhằm làm cho ứng dụng có vẻ hợp pháp hơn, miễn là họ thuyết phục mọi người tải xuống Apple Testflight và Các nhà nghiên cứu cho biết đã lừa họ cài đặt ứng dụng trò chuyện của họ.
Mặc dù chức năng chính xác của ứng dụng chưa được biết, nhưng nó bị nghi ngờ đã được sử dụng như một mưu đồ kỹ thuật xã hội như một phương tiện để giám sát các nạn nhân của chiến dịch thông qua một phương tiện trò chuyện được tổ chức cho mục đích này.
Ngoài ra, các nhà điều hành Bitter APT đã sử dụng phần mềm độc hại Android không có giấy tờ trước đây có tên là Dracarys, phần mềm độc hại này lạm dụng quyền truy cập của hệ điều hành để cài đặt các ứng dụng tùy ý, ghi âm, chụp ảnh và thu thập dữ liệu nhạy cảm từ điện thoại bị nhiễm như nhật ký cuộc gọi, danh bạ, tệp, tin nhắn văn bản, vị trí địa lý và thông tin thiết bị.
Dracarys được phân phối thông qua các ứng dụng nhỏ giọt trojanized như YouTube, Signal, Telegram và WhatsApp, tiếp tục xu hướng những kẻ tấn công ngày càng triển khai phần mềm độc hại giả dạng phần mềm hợp pháp để xâm nhập vào thiết bị di động.
Hơn nữa, trong một dấu hiệu của sự thích nghi với đối thủ, Meta lưu ý rằng nhóm đã chống lại các nỗ lực phát hiện và ngăn chặn của mình bằng cách đăng các liên kết bị hỏng hoặc hình ảnh về các liên kết độc hại trên chuỗi trò chuyện, yêu cầu người nhận phải nhập liên kết vào trình duyệt của họ.
Nguồn gốc của Bitter là một câu đố, không có nhiều chỉ số có sẵn để kết luận một cách chắc chắn với một quốc gia cụ thể. Nó được cho là hoạt động ngoài Nam Á và gần đây đã mở rộng trọng tâm tấn công các thực thể quân sự ở Bangladesh.
Meta phá vỡ bộ lạc trong suốt
Tập thể thứ hai bị Meta phá vỡ là Bộ lạc minh bạch (hay còn gọi là APT36), một mối đe dọa dai dẳng tiên tiến được cho là có trụ sở bên ngoài Pakistan và có thành tích nhắm vào các cơ quan chính phủ ở Ấn Độ và Afghanistan bằng các công cụ độc hại được đặt riêng.
Tháng trước, Cisco Talos quy cho nam diễn viên tham gia một chiến dịch lừa đảo đang diễn ra nhắm vào sinh viên tại các cơ sở giáo dục khác nhau ở Ấn Độ, đánh dấu sự rời bỏ mô hình nạn nhân điển hình của nó để bao gồm người dùng dân sự.
Các cuộc xâm nhập mới nhất cho thấy một sự hợp nhất, bao gồm quân nhân, quan chức chính phủ, nhân viên nhân quyền và các tổ chức phi lợi nhuận khác, và sinh viên ở Afghanistan, Ấn Độ, Pakistan, Ả Rập Xê Út và UAE.
Các mục tiêu được thiết kế trên mạng xã hội bằng cách sử dụng các nhân vật giả bằng cách đóng giả làm nhà tuyển dụng cho cả các công ty hợp pháp và giả mạo, quân nhân hoặc phụ nữ trẻ hấp dẫn muốn tạo mối quan hệ lãng mạn, cuối cùng lôi kéo họ mở các liên kết lưu trữ phần mềm độc hại.
Các tệp đã tải xuống chứa LazaSpy, một phiên bản sửa đổi của phần mềm giám sát nguồn mở Android có tên là XploitSPY, đồng thời sử dụng các ứng dụng sao chép WhatsApp, WeChat và YouTube không chính thức để cung cấp một phần mềm độc hại hàng hóa khác được gọi là Mobzsar (hay còn gọi là CapraSpy).
Cả hai phần mềm độc hại đều đi kèm với các tính năng thu thập nhật ký cuộc gọi, danh bạ, tệp, tin nhắn văn bản, vị trí địa lý, thông tin thiết bị và ảnh, cũng như kích hoạt micrô của thiết bị, biến chúng thành công cụ giám sát hiệu quả.
“Tác nhân đe dọa này là một ví dụ điển hình về xu hướng toàn cầu […] Các nhà nghiên cứu cho biết, nơi các nhóm có độ tinh vi thấp chọn dựa vào các công cụ độc hại sẵn có thay vì đầu tư vào việc phát triển hoặc mua các khả năng tấn công tinh vi.
Những “công cụ cơ bản chi phí thấp […] Công ty cho biết, yêu cầu ít chuyên môn kỹ thuật hơn để triển khai, nhưng vẫn mang lại kết quả cho những kẻ tấn công “, công ty cho biết thêm rằng nó” dân chủ hóa quyền truy cập vào khả năng tấn công và giám sát khi rào cản xâm nhập ngày càng thấp. “
.
