Как мы неоднократно говорили, индийцы умеют не только кино снимать и трупами в Ганг кидаться. У них вполне себе развитая и профессиональная инфраструктура APT, поддерживаемых государством и атакующих геополитических противников
Дели.
Lookout выложил
отчет о кибероперации индийской
APT Confuсius, направленной на пакистанские военные и ядерные объекты, проводимой с помощью вредоносов для
Android.
Confuсius впервые была описана в 2017 году, ее операции прослеживаются до 2013. Использование вредоносных мобильных приложений свойственно
Confuсius. Некоторые исследователи допускают, что группа ассоциирована с
APT Patchwork aka
Dropping Elephant, работающей на
Разведывательный корпус индийской армии (мы писали про нее, например,
здесь).
Исследователи обнаружили два принадлежащих
Confuсius вредоносных штамма, которые они назвали
SunBird и
Hornbill. По сути и тот и другой являются мобильными
RAT (троянами удаленного доступа). Оба вредоноса умеют собирать и эксфильтрировать большое количество информации с зараженного устройства, включая геолокацию, фото, журналы вызовов. Кроме того, они умеют делать скриншоты, фотографии с камеры, записывать звук и пр.
SunBird, по мнению экспертов, является более продвинутым в плане сбора данных, поскольку тащит практически всю инфу со смартфона, включая переписку
WhatsApp и
BlackBerry Messenger.
Hornbill же более скрытен и используется как пассивный инструмент разведки, направленный на долгосрочное функционирование. Его действия менее активны, но более выборочны, чем у
SunBird.
По информации
Lookout,
SunBird находился в разработке с декабря 2016 по начало 2019, а вот
Hornbill впервые появился в начале 2018 и активно модифицируется по сегодняшний день.
Анализ целей вредоносного ПО показал, что основными объектами заинтересованности
Confuсius в рамках этой операции являются военнослужащие пакистанской армии и их окружение, сотрудники ядерных объектов
Пакистана, а также лица, связанные с выборами в штате
Кашмир (он вроде как индийский, но является объектом территориального спора с
Пакистаном). В то же время были обнаружены и атакованные устройства из других стран, к примеру, из
Казахстана. Возможно, что это были сопутствующие жертвы.
Распространялись вредоносы под видом различных мобильных приложений, часто маскируясь под мобильные чаты (этот прием
Confuсius использует еще с 2017 года).
Анализ TTPs, в основном вредоносной инфраструктуры, позволил исследователям с достаточно большой долей уверенности утверждать, что за
SunBird и
Hornbill стоит именно
APT Confuсius.
#APT #Confucius
