Çin, Japonya ve İngiltere’ye saldırmak için gelişmiş implant kullanan Çin bağlantılı yeni APT grubu Blackwood’u keşfetti
Blackwood, implantı dağıtırken meşru yazılımlardan gelen güncelleme taleplerini ele geçirmek için ortadaki adam tekniklerinden yararlanıyor. Çin, Japonya ve Birleşik Krallık’tan bireylere ve şirketlere karşı siber casusluk operasyonları gerçekleştiriyor.
NSPX30 implantı Tencent QQ, WPS Office ve Sogou Pinyin gibi yasal yazılımların güncelleme mekanizmaları aracılığıyla dağıtılıyor. Araştırma, NSPX30’un gelişiminin izini 2005 yılında Project Wood adı verilen ve kurbanlarından veri toplamak için tasarlanan küçük bir arka kapıya kadar sürüyor.
NSPX30, damlalık, yükleyiciler, orkestratör ve arka kapı gibi çeşitli bileşenleri içeren çok aşamalı bir implant. NSPX30 ayrıca çeşitli Çin kötü amaçlı yazılımdan koruma çözümlerinde kendisini izin verilenler listesine ekleme yeteneğine sahip.
Blackwood ve arka kapı Project Wood’u muteks adında yinelenen bir temaya dayanıyor. Muteks veya karşılıklı dışlama, paylaşılan bir kaynağa erişimi kontrol etmek için kullanılan bir senkronizasyon aracı. 2005’teki Project Wood implantı, uygulanan teknikler göz önüne alındığında, kötü amaçlı yazılım geliştirme konusunda deneyimli geliştiricilerin işi olarak görünüyor.
NSPX30 implantı kısa süre önce az sayıda sistemde tespit edildi. Kurbanlar arasında Çin ve Japonya’da bulunan kimliği belirsiz kişiler, Birleşik Krallık’taki yüksek profilli bir kamu araştırma üniversitesinin ağına bağlı Çince konuşan kimliği belirsiz bir kişi, Çin’de bulunan büyük bir üretim ve ticaret şirketi ve mühendislik ve üretim sektöründeki bir Japon şirketinin Çin merkezli ofisleri yer alıyor.
Saldırganların, erişimin kaybedilmesi durumunda sistemleri yeniden ele geçirmeye çalıştıklarını da gözlemlendi.
NSPX30, damlalık, yükleyiciler, orkestratör ve arka kapı gibi çeşitli bileşenleri içeren çok aşamalı bir implant. Son bileşenlerin her ikisi de Skype, Telegram, Tencent QQ ve WeChat gibi çeşitli uygulamalar için casusluk yetenekleri uygulayan kendi eklenti setlerine sahip.
Ayrıca çeşitli Çin antivirüs çözümlerinden kaçınma yeteneğine de sahip.
Meşru yazılımlar (şifrelenmemiş) HTTP protokolünü kullanarak meşru sunuculardan güncellemeleri indirmeye çalıştığında makinelerin tehlikeye girdiğini belirledi. Ele geçirilen yazılım güncellemeleri arasında Tencent QQ, Sogou Pinyin ve WPS Office gibi popüler Çin yazılımları da bulunuyor.
Arka kapının temel amacı denetleyicisiyle iletişim kurmak ve toplanan verileri dışarı sızdırmak. Ekran görüntüsü alabilir, keylogging yapabilir ve çeşitli bilgiler toplayabilir.
Saldırganların engelleme yeteneği, orkestratör ve arka kapı yeni bileşenler indirmek veya toplanan bilgileri dışarı sızdırmak için Baidu’nun sahip olduğu meşru ağlarla iletişim kurarken gerçek altyapılarını anonimleştirmelerine de olanak tanıyor.
NSPX30 tarafından üretilen kötü niyetli ancak meşru görünen trafiğin, ortadaki düşman saldırılarını da gerçekleştiren bilinmeyen durdurma mekanizması tarafından gerçek saldırganların altyapısına iletildiğine inanıyor.
Apple, üçüncü taraf uygulama sistemini resmen duyurdu
