GambleForce APT IOCs

В сентябре 2023 года компания Group-IB, специализирующаяся на кибербезопасности, обнаружила GambleForce, ранее неизвестного агента, специализирующегося на атаках с использованием SQL-инъекций в Азиатско-Тихоокеанском регионе. GambleForce атаковала более 20 веб-сайтов (правительственных, игорных, розничных и туристических) в Австралии, Китае, Индонезии, Филиппинах, Индии, Южной Корее, Таиланде и Бразилии.

Группа использовала набор инструментов с базовыми, но эффективными методами атак, что дало основания полагать о ее дальнейшей активности даже после того, как Group-IB уничтожила ее командно-контрольный сервер. Весь набор инструментов был основан на общедоступных инструментах с открытым исходным кодом, используемых в целях пентестирования. После более детального изучения набора инструментов стало ясно, что они, скорее всего, были связаны с угрожающим субъектом, использующим один из самых старых методов атаки: SQL-инъекции. Злоумышленники получили первоначальный доступ с помощью SQLmap, а затем загрузили Cobalt Strike на взломанные серверы. Примечательно, что версия Cobalt Strike, обнаруженная на сервере банды, использовала команды на китайском языке, но одного этого факта недостаточно, чтобы установить происхождение группы.

GambleForce - ранее неизвестный угрожающий агент, занимающийся атаками с использованием SQL-инъекций.

С момента своего появления в сентябре 2023 года группа атаковала 24 веб-сайта (правительственные, игорные, розничные, туристические и ищущие работу).
Группа в основном фокусируется на Азиатско-Тихоокеанском регионе: Австралия, Китай, Индонезия, Филиппины, Индия, Южная Корея, Таиланд.
GambleForce использует набор общедоступных инструментов с открытым исходным кодом для пентестинга: dirsearch, redis-rogue-getshell, Tinyproxy, sqlmap и Cobalt Strike.
Версия Cobalt Strike, обнаруженная на сервере банды, использовала команды на китайском языке.
В одной из атак в Бразилии злоумышленники использовали CVE-2023-23752, уязвимость в CMS Joomla, но им не удалось вывести какие-либо данные.
Group-IB уничтожила C&C банды и отправила уведомления идентифицированным жертвам.
В подразделении аналитики угроз Group-IB считают, что группировка может вскоре восстановить инфраструктуру.

Indicators of Compromise

IPv4

Domains