یک گروه تهدید پیشرفته پایدار (APT) چینی‌زبان با استفاده از نسخه‌های سفارشی‌شده ابزارهای متن‌باز، زیرساخت‌های وب تایوان را هدف قرار داده است تا دسترسی طولانی‌مدت به محیط‌های قربانیان با ارزش بالا برقرار کند. سیسکو تالوس این فعالیت را به گروه UAT-7237 نسبت داده که از سال ۲۰۲۲ فعال بوده و زیرمجموعه‌ای از UAT-5918 محسوب می‌شود – گروهی که از سال ۲۰۲۳ زیرساخت‌های حیاتی تایوان را مورد حمله قرار داده است.
این حملات با استفاده از بارگذار شل‌کد (shellcode loader) اختصاصی به نام SoundBill مشخص می‌شوند که برای رمزگشایی و راه‌اندازی بارهای ثانویه مانند Cobalt Strike طراحی شده است. UAT-7237 برخلاف UAT-5918 که بلافاصله وب شل‌ها را مستقر می‌کند، از کلاینت SoftEther VPN برای حفظ دسترسی و پروتکل RDP برای دسترسی مستقیم استفاده می‌کند. محققان تالوس اشاره کردند که این گروه زبان چینی ساده‌شده را به عنوان زبان ترجیحی در فایل پیکربندی کلاینت VPN خود تنظیم کرده که نشان‌دهنده تسلط اپراتورها بر این زبان است. همچنین اینتزر کشف نسخه جدیدی از بک‌دور FireWood مرتبط با گروه تهدید چینی Gelsemium را گزارش کرده است.
کلمات کلیدی : گروه تهدید پیشرفته پایدار, APT چینی, زیرساخت تایوان, SoundBill shellcode loader, UAT-7237, Cobalt Strike
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.