Check Point связала три китайские шпионские кампании через экосистему Sparrow
Check Point Research связала три кластера кибершпионажа через общую вредоносную экосистему Sparrow. Её разработчика исследователи называют CopperDragon и считают поставщиком инструментов для китайских группировок.
Главное в цифрах
- Кластеры атак: SilentDelivery, OceanGate, DarkWire
- Страны скомпрометированных сайтов в SilentDelivery: Чехия, Германия, Франция, Тайвань, Непал, Гонконг, Индонезия
Исследователи Check Point отслеживают три кластера под названиями SilentDelivery, OceanGate и DarkWire. Сначала их считали независимыми наборами атак, у каждого свои бэкдоры и инструменты пост-эксплуатации, но позже их связали через общую экосистему Sparrow. Атаки нацелены на телекоммуникационные компании, госструктуры, военные ведомства, научные институты и объекты критической инфраструктуры в Латинской Америке, Азии и Европе за последний год.
Разработчика инструментов компания назвала CopperDragon. По оценке исследователей, он создаёт инструменты для китайских угроз, включая FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 и UAT-8302.
SilentDelivery и OceanGate
Цепочка SilentDelivery начинается с внедрения сильно обфусцированного JavaScript в легитимные сайты, которые посещают нужные жертвы. Посетители видят ложное предупреждение о сертификате Chrome и устанавливают «утилиту» Certificate Fix. Она доставляет SquadC или вариант SparrowDoor. Скомпрометированные сайты связаны с госсектором, логистикой, IT и исследовательскими организациями в Чехии, Германии, Франции, Тайване, Непале, Гонконге и Индонезии. По данным Positive Technologies, есть признаки атак и на цели в Египте и на Филиппинах.
Кампания OceanGate работает и в Windows, и в Linux. Злоумышленники собирали учётные данные, перемещались по сети, пробовали входить по RDP и получили доступ к учётной записи администратора. Затем разворачивали ядерные руткиты и модифицировали SparrowDoor и SparrowShell с помощью драйверов WinDivert, чтобы скрывать трафик.
Связи и регион атак
Инструменты SparrowShell похожи на вредонос Mélofée, который ExaTrack описала в марте 2023 года как основанный на открытом рутките Reptile. Это позволяет предположить, что CopperDragon причастен и к разработке Mélofée.
Третий кластер сосредоточен на Латинской Америке, в первую очередь на телекоммуникационных операторах и госструктурах. В этих атаках применяются новые бэкдоры CopperDoor и CopperDNS. Инфраструктура CopperDoor отличается более высокой операционной безопасностью: большинство IP-адресов находятся в той же стране, что и жертва. Связь FamousSparrow с Salt Typhoon, по данным Check Point, существует, но её характер пока не ясен.
