Aggiornamenti recenti Novembre 8th, 2024 7:00 PM
Ott 08, 2024 Marina Londei In evidenza, Minacce, News, RSS 0
I ricercatori di ESET hanno scoperto le attività di CeranaKeeper, un gruppo APT allineato alla Cina che ha preso di mira istituzioni governative in diversi Paesi asiatici, esfiltrando grandi quantità di dati.
Il nome del gruppo, ideato dai ricercatori, è un gioco di parole tra il termine “beekeeper”, ispirato dalle numerose occorrenze della stringa “bectrl” nel codice dei tool del gruppo, e la specie di ape Apis Cerana, l’ape asiatica del miele.
CeranaKeeper utilizza molti strumenti e tecniche in rapida e continua evoluzione: gli attaccanti riscrivono il set di strumenti in base alle necessità, per cercare di eludere il rilevamento. L’obiettivo del gruppo APT è raccogliere il numero maggior di file possibile per accedere a conoscenze militari e governative.
Il gruppo usa servizi cloud e di condivisione file per l’esfiltrazione dei dati, cercando di camuffare il traffico con quello legittimo e difficile da bloccare di questi servizi.
CeranaKeeper è attivo almeno dal 2022 e ha come obiettivo principale gli enti governativi in Thailandia, Myanmar, Filippine, Giappone e Taiwan. Nel dettaglio, negli attacchi contro le istituzioni thailandesi il gruppo ha usato componenti rivisitate attribuite da altri ricercatori a MustangPanda, un altro gruppo APT allineato alla Cina, oltre a un nuovo set di strumenti in grado di violare service provider quali Pastebin, Dropbox, OneDrive e GitHub.
I ricercatori ritengono che i due gruppi siano entità separate, anche se è possibile che condividano informazioni e una parte degli strumenti. “Nonostante alcune somiglianze nelle loro attività, come obiettivi comuni e formati di archivi simili, ESET ha osservato differenze organizzative e tecniche tra i due gruppi, ad esempio nei set di strumenti, infrastrutture, procedure e campagne. Abbiamo anche notato differenze nel modo in cui i due gruppi svolgono compiti simili” ha affermato Romain Dumont, ricercatore di ESET che ha scoperto CeranaKeeper.
Il gruppo usa un set di strumenti pubblici chiamato “bespoke stagers” che sfrutta una tecnica di side loading e una specifica sequenza di comandi per esfiltrare file dalla rete. L’uso di componenti PlugX rimanda ancora una volta all’attività di MustangPanda, ma ci sono differenza organizzative e tecniche che confermano l’idea che si tratti di entità differenti.
Dopo l’accesso alla rete, il gruppo installa la backdoor TONESHELL, esegue uno strumento per il dump delle credenziali e usa un driver Avast e un’applicazione personalizzata per disabilitare gli antivirus presenti sulle macchine. Per spostarsi lateralmente, il gruppo distribuisce uno script BAT e sfrutta il controller di dominio per ottenere i privilegi di amministratore. Ciò permette a CeranaKeeper di esfiltrare enormi quantità di dati.
“Il gruppo dietro gli attacchi al governo tailandese, CeranaKeeper, sembra particolarmente implacabile, dato che la pletora di strumenti e tecniche che il gruppo utilizza continua a evolversi a un ritmo rapido” spiega il team di ESET. Il gruppo sta continuando con le sue attività ed è probabile che colpirà nuovi obiettivi evolvendo le tecniche e i tool a disposizione.
Ott 01, 2024 0
Set 10, 2024 0
Ago 02, 2024 0
Lug 18, 2024 0
Nov 08, 2024 0
Nov 08, 2024 0
Nov 07, 2024 0
Nov 06, 2024 0
Nov 07, 2024 0
L’attuale panorama delle minacce si presente sempre...Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...Nov 04, 2024 0
Era già successo durante le ultime elezioni e sta...Ott 31, 2024 0
Oltre 200 applicazioni dannose che contano più di 8...Ott 29, 2024 0
Il 25 ottobre si è concluso il quarto e ultimo giorno di...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Nov 08, 2024 0
Il furto di credenziali è l’attacco hacker più diffuso...Nov 07, 2024 0
L’attuale panorama delle minacce si presente sempre...Nov 06, 2024 0
Niente sospensione per Piracy Shield nonostante i problemi...Nov 06, 2024 0
Il team di Unit 42 di Palo Alto Networks ha...Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...