OceanLotus (APT32) APT IOCs

Исследователи из компании Huntress обнаружили долгосрочную кибервзломку, направленную на вьетнамского правозащитника, которая, предположительно, продолжалась не менее четырех лет.

По данным Huntress, тактика, техника и процедуры (TTP), наблюдаемые в этой атаке, имеют сходство с теми, которые использует APT32/OceanLotus, известная группа кибершпионажа, отслеживаемая Microsoft как Canvas Cyclone. Для сохранения доступа к взломанным системам злоумышленники использовали различные механизмы сохранения, включая запланированные задачи, боковую загрузку DLL и злоупотребление COM-объектами. Примечательно, что злоумышленники использовали вредоносные программы, которые маскировались под легитимное программное обеспечение, например двоичные файлы Adobe и McAfee, и использовали уязвимости в легитимных исполняемых файлах для выполнения вредоносной полезной нагрузки.

В ходе расследования аналитики Huntress обнаружили несколько образцов вредоносного ПО, которые использовали обфускацию и стеганографию для уклонения от обнаружения. Вредоносные программы могли внедрять код в память и выполнять различные задачи, такие как кража файлов cookie браузера, загрузка дополнительной полезной нагрузки и создание бэкдоров. Злоумышленники также использовали легитимные инструменты, такие как Windows Management Instrumentation (WMI), для удаленного выполнения команд и эксплуатировали именованные каналы для повышения привилегий.

В ходе расследования были обнаружены связи с инфраструктурой, связанной с APT32/OceanLotus, что еще больше подтверждает причастность этой группы к атаке. Настойчивые усилия злоумышленников по сокрытию своей деятельности и сохранению доступа говорят о стратегической цели, связанной со сбором разведданных. Этот случай демонстрирует, на что идут продвинутые злоумышленники ради достижения своих целей, и подчеркивает важность непрерывного поиска и мониторинга угроз для обнаружения и реагирования на такие сложные вторжения.