Das nächste Ziel der neuen Malware-Kampagne sind die indischen Regierungsangestellten
Der Bedrohungsakteur Transparent Tribe wurde mit einer neuen Kampagne in Verbindung gebracht, die sich an indische Regierungsorganisationen mit trojanisierten Versionen einer Zwei-Faktor-Authentifizierungslösung mit dem Namen richtet Kavach.
Zscaler ThreatLabz-Forscher Sudeep Singh genannt in einer Analyse vom Donnerstag, dass die Gruppe Google-Werbung zum Zwecke der Malvertising missbraucht, um Backdoor-Versionen von Kavach-Multi-Authentifizierungsanwendungen (MFA) zu verbreiten
Das Cybersicherheitsunternehmen sagte, dass die Bedrohungsgruppe auch Angriffe zum Sammeln von Anmeldeinformationen in geringem Umfang durchgeführt habe. Betrügerische Websites, die sich als offizielle Websites der indischen Regierung tarnen, wurden eingerichtet, um unwissende Benutzer zur Eingabe ihrer Passwörter zu verleiten.
Transparent Tribe, auch bekannt unter den Spitznamen APT36, Operation C-Major und Mythic Leopard, ist ein mutmaßliches pakistanisches gegnerisches Kollektiv. Der identifizierte Stamm hat eine Geschichte des Streiks indischer und afghanischer Einheiten.
Die neueste Angriffskette ist nicht das erste Mal, dass der Bedrohungsakteur Kavach (was auf Hindi „Rüstung“ bedeutet) ins Visier nimmt, eine App, die von Benutzern mit E-Mail-Adressen in den Domänen @gov.in und @nic.in zur Anmeldung benötigt wird an den E-Mail-Dienst als zweite Authentifizierungsebene.
Anfang März enthüllte Cisco Talos eine Hacking-Kampagne, die gefälschte Windows-Installer für Kavach als Köder einsetzte, um Regierungspersonal mit CrimsonRAT und anderen Artefakten zu infizieren.
Eine ihrer üblichen Taktiken ist die Nachahmung legitimer Regierungs-, Militär- und verwandter Organisationen, um die Killchain zu aktivieren. Die jüngste Kampagne des Bedrohungsakteurs ist da keine Ausnahme.
„Der Bedrohungsakteur hat mehrere neue Domains registriert, die Webseiten hosten, die sich als offizielles Kavach-App-Download-Portal ausgeben“, sagte Singh. „Sie haben die bezahlte Suchfunktion von Google Ads missbraucht, um die schädlichen Domains an die Spitze der Google-Suchergebnisse für Nutzer in Indien zu bringen.“
Seit Mai 2022 soll Transparent Tribe auch Backdoor-Versionen der Kavach-App über von Angreifern kontrollierte App-Stores vertrieben haben, die vorgeben, kostenlose Software-Downloads anzubieten.
Diese Website wird auch als Top-Ergebnis in der Google-Suche angezeigt und fungiert effektiv als Einfallstor, um Benutzer, die nach der App suchen, auf das .NET-basierte betrügerische Installationsprogramm umzuleiten.
Die Gruppe wurde ab August 2022 auch bei der Verwendung eines zuvor undokumentierten Datenexfiltrationstools mit dem Codenamen LimePad beobachtet, das dazu dient, interessante Dateien vom infizierten Host auf den Server des Angreifers hochzuladen.
Zscaler sagte, es habe auch eine von Transparent Tribe registrierte Domain identifiziert, die die Anmeldeseite der Kavach-App fälschte, auf die nur von einer indischen IP-Adresse zugegriffen wurde, oder den Besucher auf die Homepage des indischen National Informatics Center umleitete.
Die Seite ist ihrerseits so ausgestattet, dass sie die vom Opfer eingegebenen Anmeldeinformationen erfasst und an einen Remote-Server sendet, um weitere Angriffe auf die regierungsnahe Infrastruktur durchzuführen.
Die Verwendung von Google-Anzeigen und LimePad weist auf die fortgesetzten Versuche des Angreifers hin, seine Taktiken und Malware-Toolset weiterzuentwickeln und zu verfeinern.
„APT-36 ist nach wie vor eine der am weitesten verbreiteten Advanced Persistent Threat Groups, die sich auf Benutzer konzentriert, die in indischen Regierungsorganisationen arbeiten“, sagte Singh. „Anwendungen, die intern bei indischen Regierungsorganisationen verwendet werden, sind eine beliebte Wahl für Social-Engineering-Themen, die von der APT-36-Gruppe verwendet werden.“
Deutsch (Sie) 
English 
हिन्दी 
ગુજરાતી 
தமிழ் 
తెలుగు 
मराठी 
മലയാളം 
বাংলা 
Français de Belgique 
Deutsch (Schweiz) 
Deutsch 
English (Canada) 
English (New Zealand) 
English (UK) 
English (Australia) 
English (South Africa) 
Afrikaans 
اردو 
العربية 
Русский 
简体中文 
Azərbaycan dili 
অসমীয়া 
Magyar 
Bahasa Indonesia 
Español de Argentina 
Español de Colombia 
日本語 
Italiano 
Tiếng Việt 
Українська 
فارسی 
Français du Canada