Σύμφωνα με σχετική έρευνα της Check Point Research (CPR), επιχείρηση, που αποδίδεται σε κινεζικούς εθνικούς κρατικούς φορείς απειλών, βασίζεται σε τεχνικές κοινωνικής μηχανικής και συγκεκριμένα σε δολώματα, που σχετίζονται με κυρώσεις, για τη συλλογή ευαίσθητων πληροφοριών.

Τα μηνύματα ηλεκτρονικού ταχυδρομείου, που έπιασε το CPR, περιείχαν κακόβουλα έγγραφα, τα οποία χρησιμοποιούσαν τις δυτικές κυρώσεις κατά της Ρωσίας ως δόλωμα, μεταξύ άλλων τεχνικών κοινωνικής μηχανικής. Οι απειλητικοί φορείς κατάφεραν να αποφύγουν τον εντοπισμό για σχεδόν 11 μήνες χρησιμοποιώντας νέα και μη τεκμηριωμένα εργαλεία, τα οποία το CPR περιγράφει τώρα λεπτομερώς για πρώτη φορά.

Η CPR ονόμασε την εκστρατεία "Twisted Panda" για να αντανακλά την πολυπλοκότητα των εργαλείων, που παρατηρήθηκαν και εντοπίστηκαν στην Κίνα. Τα ρωσικά θύματα ανήκουν σε μια εταιρεία διαχείρισης του ρωσικού κρατικού αμυντικού ομίλου Rostec Corporation, τη μεγαλύτερη εταιρεία διαχείρισης της Ρωσίας στη βιομηχανία ραδιοηλεκτρονικής.

Στόχοι

Η CPR εντόπισε τρεις στόχους αμυντικής έρευνας, δύο στη Ρωσία και έναν στη Λευκορωσία. Τα ρωσικά θύματα ανήκουν σε μια εταιρεία συμμετοχών του ρωσικού κρατικού αμυντικού ομίλου Rostec Corporation, η οποία είναι η μεγαλύτερη εταιρεία συμμετοχών της Ρωσίας στη βιομηχανία ραδιοηλεκτρονικής.

Η κύρια δραστηριότητα των ρωσικών θυμάτων αφορά την ανάπτυξη και κατασκευή συστημάτων ηλεκτρονικού πολέμου, στρατιωτικού εξειδικευμένου ραδιοηλεκτρονικού εξοπλισμού επί του σκάφους, σταθμών ραντάρ στον αέρα και μέσων κρατικής αναγνώρισης.

Οι ερευνητικές οντότητες ασχολούνται, επίσης, με συστήματα αεροηλεκτρονικής για την πολιτική αεροπορία, την ανάπτυξη ποικίλων πολιτικών προϊόντων, όπως ιατρικός εξοπλισμός και συστήματα ελέγχου για την ενέργεια, τις μεταφορές και τις βιομηχανίες μηχανικής.

Πώς επιτίθενται

Αρχικά, οι επιτιθέμενοι στέλνουν στους στόχους τους, ένα ειδικά διαμορφωμένο μήνυμα ηλεκτρονικού ταχυδρομείου phishing. Το μήνυμα ηλεκτρονικού ταχυδρομείου περιέχει ένα έγγραφο, που χρησιμοποιεί τις δυτικές κυρώσεις κατά της Ρωσίας ως δόλωμα.

Όταν το θύμα ανοίγει το έγγραφο, κατεβάζει τον κακόβουλο κώδικα από τον ελεγχόμενο από τους επιτιθέμενους διακομιστή, ο οποίος εγκαθιστά και εκτελεί κρυφά μια κερκόπορτα στο μηχάνημα του θύματος. Αυτή η κερκόπορτα συλλέγει τα δεδομένα σχετικά με το μολυσμένο μηχάνημα και τα στέλνει πίσω στον επιτιθέμενο.

Στη συνέχεια, με βάση αυτές τις πληροφορίες, ο επιτιθέμενος μπορεί να χρησιμοποιήσει περαιτέρω το backdoor για να εκτελέσει πρόσθετες εντολές στο μηχάνημα του θύματος ή να συλλέξει ευαίσθητα δεδομένα από αυτό.