Шпионская группа, известная как Billbug или Lotus Blossom, осуществила кампанию вторжений во множество организаций в Юго-Восточной Азии. Среди целей были правительственные и коммерческие организации, включая министерство, операторы телекоммуникаций, аэропорты и строительные компании. Эта кампания продолжалась с августа 2024 года по февраль 2025 года.
Описание
Группа также осуществила вторжения в новостное агентство и компанию по авиаперевозкам в других странах Юго-Восточной Азии. Для совершения атак использовались различные новые пользовательские инструменты, включая загрузчики, похитители учетных данных и инструменты обратного SSH.
Аналитики выяснили, что эта кампания была продолжением предыдущей кампании, задокументированной Symantec в декабре 2024 года. Хотя было известно, что атаки связаны с китайскими агентами, не удалось однозначно определить атрибуцию конкретного агента. Однако последний анализ показал, что индикаторы компрометации, использованные в активности Billbug, связаны с этой группой.
Злоумышленники использовали легитимные исполняемые файлы Trend Micro и Bitdefender для загрузки вредоносных загрузчиков. Они также использовали новый вариант бэкдора Sagerunex, примечательный для группы Billbug. Кроме того, были развернуты инструменты для кражи учетных данных из веб-браузера Chrome и другие инструменты, такие как бэкдор Zrok и datechanger.exe для замены временных меток файлов.
Группа Billbug активна с 2009 года и часто нацеливается на юго-восточно-азиатские правительства и военные организации. Их деятельность была задокументирована компаниями Palo Alto и Symantec .
Индикаторы компрометации
