Группа APT36, также известная как Transparent Tribe, продолжает совершенствовать свои тактики и расширять цели атак, переключив внимание с военных объектов на критическую инфраструктуру Индии. Последние исследования показали, что угроза теперь затрагивает железнодорожные системы, нефтегазовый сектор и даже Министерство иностранных дел страны. Используя сложные фишинговые схемы, вредоносные файлы .desktop и бэкдор Poseidon, злоумышленники добиваются устойчивого доступа к системам, что представляет серьезную угрозу для национальной безопасности.
Описание
Анализ последних атак показал, что APT36 использует два варианта заражения, каждый из которых имеет свою инфраструктуру. Первый вариант подразумевает единый сервер командования и управления (C2), тогда как второй отличается избыточностью и включает в себя дублирующие серверы, что усложняет обнаружение и блокировку злонамеренной активности. В обоих случаях используются .desktop-файлы, замаскированные под PDF-документы. Эти файлы служат приманкой, отвлекая внимание пользователя на легитимный контент, в то время как в фоновом режиме запускаются скрипты для загрузки вредоносного ПО.
Часть индикаторов данной атаки были обнаружены CYFIRMA Research в сентябре прошлого года.
После успешного заражения APT36 развертывает бэкдор Poseidon, разработанный на основе фреймворка Mythic и написанный на языке Go. Этот инструмент обеспечивает долгосрочный контроль над скомпрометированными системами, сбор информации и возможность перемещения внутри сети. Анализ инфраструктуры бэкдора выявил активные серверы C2, размещенные на платформе DigitalOcean в Германии и Индии. Кроме того, исследователи обнаружили более 350 серверов, использующих тот же фреймворк Mythic, что указывает на широкое применение подобных инструментов среди различных групп злоумышленников.
Параллельно с кампаниями по распространению вредоносного ПО APT36 продолжает активно использовать фишинговые домены, имитирующие официальные правительственные ресурсы Индии. Эксперты идентифицировали более 100 таких доменов, многие из которых зарегистрированы через хостинг-провайдера AlexHost и содержат поддомены, схожие с адресами индийских госучреждений. Например, фишинговый сайт drdo[.]gov[.]in[.]nominationdrdo[.]report был создан для кражи учетных данных через поддельную страницу входа, имитирующую портал DRDO.
Масштабная инфраструктура фишинга, дублирование серверов управления и применение сложных бэкдоров демонстрируют, что APT36 продолжает эволюционировать, становясь все более опасным игроком в сфере кибершпионажа. Их действия уже вышли за рамки традиционных целей в оборонном секторе и теперь угрожают ключевым элементам гражданской инфраструктуры Индии.
Индикаторы компрометации
