Китайская хакерская группа APT 41, также известная как BARIUM, Wicked Panda и Brass Typhoon, продолжает демонстрировать высокий уровень изощренности в своих кибероперациях. В ходе последней кампании злоумышленники использовали Google Calendar в качестве канала управления для вредоносного ПО ToughProgress, атакуя правительственные структуры Тайваня.
Описание
APT 41 сочетает методы кибершпионажа и финансово мотивированных атак, что делает ее одной из самых опасных угроз в киберпространстве. В данном случае атака началась с фишинговых писем, содержащих ссылки на ZIP-архив, размещенный на скомпрометированном правительственном сайте. Внутри архива находился LNK-файл, замаскированный под PDF, а также несколько изображений, два из которых оказались вредоносными.
После запуска LNK-файла жертве показывался поддельный документ, в то время как в фоновом режиме активировался сложный многоэтапный механизм заражения. Вредоносная нагрузка включала три модуля: PLUSDROP, PLUSINJECT и TOUGHPROGRESS. Первый модуль расшифровывал вредоносный код из файла "6.jpg" и запускал его через Rundll32.exe. Второй внедрял финальную нагрузку в легитимный процесс svchost.exe, используя технику process hollowing для уклонения от обнаружения.
Особенностью этой кампании стало использование Google Calendar для командного управления. TOUGHPROGRESS создавал и редактировал события в календаре, передавая зашифрованные команды и получая результаты их выполнения. Этот метод позволил злоумышленникам оставаться незамеченными, так как трафик выглядел как легитимные запросы к сервисам Google.
Google уже предпринял меры для блокировки вредоносных календарей и связанных с атакой доменов, добавив их в списки Safe Browsing. Однако APT 41 продолжает совершенствовать свои инструменты, что требует повышенной бдительности со стороны специалистов по кибербезопасности.
Индикаторы компрометации
