استهدفت حملة التجسس السيبراني التي دامت أشهرًا والتي نفذتها مجموعة من الدول القومية الصينية العديد من الكيانات التي لديها برامج استطلاعية ضارة من أجل جمع معلومات حول ضحاياها وتحقيق أهدافها الاستراتيجية.

وقالت شركة Proofpoint لأمن المؤسسات في منشور بالشراكة مع PwC: “امتدت أهداف هذه الحملة الأخيرة إلى أستراليا وماليزيا وأوروبا ، فضلاً عن الكيانات التي تعمل في بحر الصين الجنوبي”.

تشمل الأهداف الوكالات الحكومية الأسترالية المحلية والفيدرالية ، وشركات وسائل الإعلام الإخبارية الأسترالية ، ومصنعي الصناعات الثقيلة العالميين الذين يقومون بصيانة أساطيل توربينات الرياح في بحر الصين الجنوبي.

عزا Proofpoint و PwC التدخلات بثقة معتدلة إلى عامل تهديد تتبعه الشركتان تحت الاسمين TA423 و Red Ladon على التوالي ، والذي يُعرف أيضًا باسم APT40 و Leviathan.

APT40 هو الاسم المخصص لممثل تهديد بدافع التجسس ومقره الصين ومن المعروف أنه نشط منذ عام 2013 ولديه نمط من الكيانات الضاربة في منطقة آسيا والمحيط الهادئ ، مع التركيز بشكل أساسي على بحر الصين الجنوبي. في يوليو 2021 ، ربطت حكومة الولايات المتحدة وحلفاؤها المجموعة العدائية بوزارة أمن الدولة الصينية (MSS).

اتخذت الهجمات شكل عدة موجات من حملات التصيد الاحتيالي بين 12 أبريل و 15 يونيو والتي استخدمت عناوين URL تتنكر في شكل شركات إعلامية أسترالية لتقديم إطار استطلاع ScanBox. جاءت رسائل التصيد الاحتيالي الإلكترونية مصحوبة بخطوط موضوعية مثل “الإجازة المرضية” و “بحث المستخدم” و “طلب التعاون”.

على عكس الثغرات المائية أو التسويات الاستراتيجية على شبكة الإنترنت حيث يكون موقع ويب شرعي معروف بزيارته من قبل الأهداف مصابًا بشفرة JavaScript ضارة ، فإن نشاط APT40 يستفيد من مجال يتحكم فيه الممثل والمستخدم لتسليم البرامج الضارة.

وقال الباحثون: “الممثل المهدد كثيرًا ما يتظاهر بأنه موظف في النشرة الإعلامية الخيالية” Australian Morning News “، حيث يقدم عنوان URL للمجال الخبيث ويطلب من الأهداف عرض موقعه على الويب أو مشاركة محتوى البحث الذي سينشره الموقع”.

ScanBox ، الذي تم استخدامه في الهجمات في وقت مبكر من عام 2014 ، هو برنامج ضار قائم على JavaScript يمكّن الجهات الفاعلة في التهديد من التعرف على ضحاياهم بالإضافة إلى توصيل حمولات المرحلة التالية إلى الأهداف محل الاهتمام. من المعروف أيضًا أنه مشترك بشكل خاص بين العديد من مجموعات القرصنة التي تتخذ من الصين مقراً لها ، مثل HUI Loader و PlugX و ShadowPad.

تتضمن بعض الجهات الفاعلة في مجال التهديد والتي تمت ملاحظتها سابقًا باستخدام ScanBox APT10 (المعروف أيضًا باسم Red Apollo أو Stone Panda) و APT27 (المعروف أيضًا باسم Emissary Panda أو Lucky Mouse أو Red Phoenix) و TA413 (المعروف أيضًا باسم Lucky Cat).

يوجد أيضًا عدد من المكونات الإضافية التي يتم استردادها وتنفيذها بواسطة البرامج الضارة في متصفح الويب الخاص بالضحية ، والتي تسمح لها بتسجيل ضغطات المفاتيح ، وبصمة المتصفح ، وجمع قائمة بوظائف المتصفح الإضافية المثبتة ، والتواصل مع الأجهزة المصابة ، والتحقق من وجود برنامج Kaspersky Internet Security (KIS).

هذه ليست المرة الأولى التي تعتمد فيها APT40 طريقة عمل استخدام مواقع الأخبار الوهمية لنشر ScanBox. استخدمت حملة التصيد الاحتيالي لعام 2018 التي كشف عنها Mandiant عناوين URL للمقالات الإخبارية المستضافة على نطاق مارق كإغراء لخداع المستلمين لتنزيل البرامج الضارة.

ومن المثير للاهتمام أن هجمات أبريل (نيسان) ويونيو (حزيران) هي جزء من نشاط تصيد مستمر مرتبط بنفس الفاعل المهدد الذي يستهدف المنظمات الموجودة في ماليزيا وأستراليا وكذلك الشركات العالمية التي يحتمل أن تكون مرتبطة بمشاريع الطاقة البحرية في بحر الصين الجنوبي من مارس 2021 إلى مارس 2022.

استفادت هذه الهجمات من مستندات RTF الخبيثة لتقديم برنامج تنزيل في المرحلة الأولى يعمل بعد ذلك كقناة لاسترداد الإصدارات المشفرة من كود قشرة Meterpreter. كان أحد ضحايا هذه الحملة في مارس 2022 مصنعًا أوروبيًا للمعدات الثقيلة المستخدمة في مزارع الرياح البحرية في مضيق تايوان.

هذا ليس كل شئ. يُعزى APT40 أيضًا إلى تنازلات النسخ واللصق التي كشف عنها مركز الأمن السيبراني الأسترالي (ACSC) في يونيو 2020 والتي كانت موجهة ضد الوكالات الحكومية.

وقال الباحثون: “أظهر ممثل التهديد هذا تركيزًا ثابتًا على الكيانات المشاركة في استكشاف الطاقة في بحر الصين الجنوبي ، جنبًا إلى جنب مع الأهداف الأسترالية المحلية بما في ذلك الدفاع والرعاية الصحية”.

Share.

Leave A Reply