Pag-aaral ng mga hacker ng Tsino ay nakabitin bilang phishing bait

Ang mga pag-atake ay gumagamit ng mga pekeng bersyon ng isang kamakailang inilabas na ulat tungkol sa isang Intsik cyberespionage group bilang pain sa bagong pag-atake ng spear-phishing na target ang mga gumagamit ng Hapon at Tsino. inilunsad noong Martes ng security firm na Mandiant at mga dokumento na detalyado ang mga kampanyang cyberespionage na isinasagawa mula noong 2006 ng isang grupo ng hacker na kilala bilang Crew ng Komento laban sa higit sa 100 mga kumpanya at organisasyon mula sa iba't ibang mga industriya.

Mandiant ay tumutukoy sa grupo bilang APT1 (Advanced Persistent Banta 1) at ang mga claim sa ulat na ito ay malamang na isang lihim na nakabase sa Shanghai na yunit ng cyberespionage ng Chinese Army-ang People's Liberation Army (PLA) -code-pinangalanan na "Unit 61398."

[Ang karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC.

Inalis ng pamahalaan ng China ang mga claim ni Mandiant bilang walang batayan. Gayunman, ang ulat ay nakatanggap ng maraming atensiyon mula sa mga tao sa industriya ng seguridad ng IT, gayundin sa pangkalahatang publiko.

Mukhang ang publisidad na ito ay humantong na ngayon sa mga sumasalakay na nagpapasiyang gamitin ang ulat bilang mga pain sa mga bagong naka-target na pag-atake.

Dalawang malupit na pag-atake ng spear-phishing ang natuklasan noong nakaraang linggo gamit ang mga email na may malisyosong mga attachment na masqueraded bilang ulat Mandiant, sinabi Aviv Raff, ang punong teknolohiya ng seguridad ng seguridad firm Seculert.

One atake ang target na mga nagsasalita ng Japanese na gumagamit at kasangkot ang mga email na may attachment na tinatawag na Mandiant.pdf. Ang PDF file na ito ay nagsasamantala ng kahinaan sa Adobe Reader na na-patched ng Adobe sa emergency update na Miyerkules, ang mga mananaliksik sa seguridad mula kay Seculert ay nagsabi sa isang blog post.

Ang malware na naka-install ng exploit ay nagkokonekta sa isang command-and-control server na naka-host sa Korea, ngunit nakikipag-ugnay din sa ilang mga website ng Hapon, marahil sa pagtatangkang linlangin ang mga produkto ng seguridad, sinabi ng mga mananaliksik na Seculert.

Natuklasan din at sinuri ni Symantec ang pag-atake ng spear-phishing. "Ang mga email ay nagmula sa isang tao sa media na nagrerekomenda ng ulat," sinabi ng mananaliksik na Symantec na si Joji Hamada sa isang post sa blog. Gayunpaman, maliwanag na para sa isang Hapon na ang email ay hindi isinulat ng isang katutubong nagsasalita ng Hapon, sinabi niya.

Hamada ay nagpahayag na ang mga katulad na taktika ay ginamit sa nakaraan. Sa isang pangyayari noong 2011, ginagamit ng mga hacker ang isang papel sa pananaliksik tungkol sa mga target na pag-atake na inilathala ng Symantec bilang pain. "Ginawa nila ito sa pamamagitan ng pag-spam ng mga target sa aktwal na whitepaper kasama ang malware na nakatago sa isang attachment ng archive," sinabi ni Hamada.

Sinasadya ang lumang Adobe flaw

Ang pangalawang pag-atake ng spear-phishing nakita ng mga target na gumagamit ng Chinese na nagsasalita at gumagamit ng isang malisyosong attachment na tinatawag na "Mandiant_APT2_Report.pdf."

Ayon sa pagtatasa ng PDF file sa pamamagitan ng researcher na si Brandon Dixon ng security consultancy firm 9b +, ang dokumento ay nagsasamantala ng isang mas mahina na kahinaan ng Adobe Reader na natuklasan at pinatugtog noong 2011.

Ang malware na naka-install sa system ay nagtatatag ng isang koneksyon sa isang domain na kasalukuyang tumuturo sa isang server sa China, sinabi ni Dixon sa pamamagitan ng email. "Ang malware ay nagbibigay ng mga attackers na may kakayahan na magsagawa ng mga utos sa sistema ng biktima."

Ang pangalan ng domain na nakipag-ugnay sa ganitong malware ay ginamit din noong nakaraan sa mga pag-atake na naka-target sa mga aktibista sa Tibet, sinabi ni Seculert's Raff. Ang mga mas lumang pag-atake na naka-install sa parehong Windows at Mac OS X malware, sinabi niya.

Greg Walton, isang mananaliksik mula sa MalwareLab, isang security sangkapan na sumusubaybay sa mga mototiko na pag-atake sa malware ng malware, sa Twitter na ang Mandiant-themed spear-phishing attack target journalists sa Tsina. Ang impormasyong ito ay hindi maaaring kumpirmahin ng Raff o Dixon, na nagsabing wala silang mga kopya ng orihinal na mga email ng spam, lamang ng nakahahamak na kalakip na nilalaman nito.