گروه هکری چینی Flax Typhoon (که با نام‌های Ethereal Panda و RedJuliett نیز شناخته می‌شود) موفق شده است سیستم ArcGIS را به مدت بیش از یک سال به عنوان درگاه پشتی (backdoor) مورد سوءاستفاده قرار دهد. این گروه که بر اساس ارزیابی دولت آمریکا شرکت تجاری Integrity Technology Group مستقر در پکن است، با تغییر هوشمندانه یک برنامه نقشه‌برداری جغرافیایی و تبدیل Java Server Object Extension آن به وب شل (web shell) عملیاتی، دسترسی عمیق و طولانی‌مدت به سیستم کسب کرد.
مهاجمان با هدف قرار دادن سرور عمومی ArcGIS و سازش حساب مدیر پورتال، SOE مخرب خود را مستقر کردند و با استفاده از کلید کدگذاری شده (hardcoded key) از دسترسی سایر مهاجمان جلوگیری کردند. آن‌ها سپس فایل اجرایی SoftEther VPN را با نام “bridge.exe” در پوشه System32 آپلود کرده و سرویسی به نام “SysBridge” ایجاد کردند تا کانال VPN مخفی برای حرکت جانبی (lateral movement) و استخراج داده‌ها برقرار کنند. این حمله نشان‌دهنده روش‌های پیچیده “زندگی روی زمین” (living-off-the-land) است که در آن ابزارهای مشروع سیستم برای فرار از تشخیص و دستیابی به دسترسی غیرمجاز مورد سوءاستفاده قرار می‌گیرند.
کلمات کلیدی : Flax Typhoon, ArcGIS backdoor, چینی هکری گروه, web shell, VPN مخفی, living-off-the-land
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.