Специалисты Seqrite Labs APT-Team обнаружили целевую кампанию против китайской телекоммуникационной отрасли, в частности против China Mobile Tietong Co., Ltd. - дочерней компании China Mobile, одного из крупнейших операторов связи в Китае. Атака использует сложный набор вредоносных инструментов, включая VELETRIX и VShell, последний из которых известен как инструмент симуляции действий злоумышленников, ранее применяемый китайскими хакерскими группировками против западных организаций.
Описание
Кампания началась с распространения вредоносного ZIP-файла под названием "附件.zip" (attachment.zip), содержащего исполняемые файлы и DLL, некоторые из которых были подписаны легальными сертификатами, включая сертификат Shenzhen Thunder Networking Technologies Ltd. Один из файлов, "drstat.dll", связан с программным обеспечением Wondershare RepairIt, что указывает на использование техники DLL-Sideloading для загрузки вредоносного кода.
Основной вредоносный имплант, названный исследователями VELETRIX, использует сложные методы антианализа, включая задержки выполнения и звуковые сигналы для обхода песочниц. После загрузки в память он декодирует обфусцированный шелл-код, преобразованный в список IPv4-адресов, и выполняет его с помощью API EnumCalendarInfoA.
Второй этап атаки включает загрузку импланта VShell - кроссплатформенного фреймворка на Golang, ранее использовавшегося китайскими APT-группами. Анализ показал, что имплант взаимодействует с командным сервером, используя соль "qwe123qwe". Исследователи обнаружили 44 схожих образца с этим параметром, что указывает на масштабность кампании.
Инфраструктура атакующего включает серверы в США, Гонконге и других регионах, а также пересекается с активностью известных APT-групп, таких как UNC5174 (Uteus) и Earth Lamia. На некоторых серверах развернуты дополнительные инструменты, включая Cobalt Strike и SuperShell, что подтверждает связь с китайскими государственными хакерскими группировками.
Эксперты с высокой степенью уверенности связывают эту кампанию с китайскими APT-кластерами, использующими инструменты для кибершпионажа и целевых атак. Рост подобных операций подчеркивает необходимость усиления защиты критически важных отраслей, включая телекоммуникационный сектор.
Индикаторы компрометации
