Группа киберпреступников под названием SloppyLemming, также известная как OUTRIDER TIGER, активно проводит шпионские кампании против организаций в Южной и Восточной Азии. Об этом свидетельствует новый отчет аналитиков Cloudforce One, в котором подробно описываются методы работы злоумышленников, их инструменты и целевые секторы. Наибольшую активность SloppyLemming проявляет в Пакистане, однако их операции затрагивают также Шри-Ланку, Бангладеш и Китай.
Описание
Согласно исследованию, SloppyLemming активно использует облачные сервисы для сбора учетных данных, распространения вредоносного ПО и управления своими атаками через командно-контрольные (C2) серверы. Особенность этой группы заключается в применении популярных фреймворков для кибершпионажа, таких как Cobalt Strike и Havoc, что делает их атаки более эффективными и сложными для обнаружения. Однако аналитики отмечают, что злоумышленники допускают ошибки в операционной безопасности, что позволяет экспертам по кибербезопасности глубже изучить их тактики и инструменты.
Одним из основных методов атак SloppyLemming является фишинг. Преступники рассылают жертвам письма с поддельными ссылками, ведущими на фальшивые страницы входа, размещенные на Cloudflare Workers. Для автоматизации процесса кражи учетных данных они используют инструмент CloudPhish, который сканирует HTML-код страниц входа и передает украденные данные через Discord. Этот инструмент значительно упрощает масштабирование атак и повышает их эффективность.
Помимо фишинга, группа активно собирает токены аутентификации Google OAuth, что позволяет им обходить многофакторную аутентификацию и получать доступ к корпоративным аккаунтам. Еще одним опасным инструментом в их арсенале является эксплуатация уязвимости WinRAR (CVE-2023-38831). Злоумышленники размещают вредоносные RAR-архивы на платформе Dropbox, которые при открытии запускают исполняемые файлы, развертывающие вредоносные программы удаленного доступа (RAT). Это дает SloppyLemming долгосрочный контроль над зараженными системами.
География атак SloppyLemming охватывает ключевые организации в Пакистане, включая государственные учреждения, транспортные компании, образовательные и технологические центры, а также энергетический сектор. Особый интерес злоумышленники проявляют к пакистанским правоохранительным органам и организациям, связанным с ядерной энергетикой. В других странах региона их цели включают военные и правительственные структуры Шри-Ланки и Бангладеш, а также китайские научные и энергетические компании.
Эксперты по кибербезопасности рекомендуют организациям из указанных регионов усилить меры защиты, включая обучение сотрудников распознаванию фишинговых атак, регулярное обновление программного обеспечения для закрытия известных уязвимостей и внедрение систем мониторинга подозрительной активности. Также важно ограничить использование сторонних облачных сервисов для хранения чувствительных данных и внедрить строгие политики проверки доступа.
Деятельность SloppyLemming демонстрирует растущую угрозу целевых кибератак на критически важные секторы экономики в Южной и Восточной Азии. В условиях роста цифровых угроз подобного масштаба международное сотрудничество в сфере кибербезопасности становится критически важным для противодействия современным киберпреступным группировкам.
Индикаторы компрометации
