MirrorFace aproveita ANEL e NOOPDOOR em Ataques Cibernéticos Multi-Ano no Japão

ZNX Postagens

A Agência Nacional de Polícia do Japão (NPA) e o Centro Nacional de Preparação para Incidentes e Estratégia para Segurança Cibernética (NCSC) acusaram um ator de ameaças ligado à China chamado MirrorFace de orquestrar uma campanha de ataque persistente contra organizações, empresas e indivíduos no país desde 2019.

O principal objetivo da campanha de ataque é roubar informações relacionadas à segurança nacional do Japão e tecnologia avançada, as agências disse.

MirrorFace, também rastreado como Kasha da Terra, é avaliado como um subgrupo dentro do APT10. Ele tem um histórico de atingir sistematicamente entidades japonesas, muitas vezes alavancando ferramentas como ANEL, LODEINFO e NOOPDOOR (também conhecido como HiddenFace).

No mês passado, a Trend Micro revelado detalhes de uma campanha de spear-phishing que visava indivíduos e organizações no Japão com o objetivo de entregar ANEL e NOOPDOOR. Outras campanhas observado nos últimos anos também foram dirigidas contra Taiwan e Índia.

De acordo com o NPA e o NCSC, os ataques montados pelo MirrorFace foram amplamente categorizados em três grandes campanhas

  • Campanha A (De dezembro de 2019 a julho de 2023), visando think tanks, governos, políticos e organizações de mídia usando e-mails de spear-phishing para entregar LODEINFO, NOOPDOOR e LilimRAT (uma versão personalizada do código aberto Lilith RAT)
  • Campanha B (De fevereiro a outubro de 2023), visando os setores de semicondutores, manufatura, comunicações, acadêmico e aeroespacial por explorar vulnerabilidades conhecidas em dispositivos Array Networks, Citrix e Fortinet voltados para a Internet para violar redes para entregar Cobalt Strike Beacon, LODEINFO e NOOPDOOR
  • Campanha C (A partir de junho de 2024), visando academia, think tanks, políticos e organizações de mídia usando e-mails de spear-phishing para entregar ANEL (aka UPPERCUT)

Os ataques também são caracterizados pelo uso de Túneis remotos do Visual Studio Code estabelecer conexões secretas, permitindo que os agentes de ameaças contornem as defesas da rede e controlem remotamente os sistemas comprometidos.

As agências também observaram casos em que os invasores executaram furtivamente as cargas maliciosas armazenadas no computador host dentro do Windows Sandbox e se comunicaram com um servidor de comando e controle desde pelo menos junho de 2023.

“Este método permite que o malware seja executado sem ser monitorado por software antivírus ou EDR no computador host e, quando o computador host é desligado ou reiniciado, os vestígios no Windows Sandbox são apagados, portanto, as evidências não são deixadas para trás”, disseram o NPA e o NCSC.

Fonte: https://thehackernews.com/