Mục tiêu tiếp theo của chiến dịch phần mềm độc hại mới là Nhân viên Chính phủ Ấn Độ
Tác nhân đe dọa Bộ lạc minh bạch đã được liên kết với một chiến dịch mới nhằm vào các tổ chức chính phủ Ấn Độ với các phiên bản trojan của giải pháp xác thực hai yếu tố có tên Kavach.
Nhà nghiên cứu Sudeep Singh của Zscaler ThreatLabz nói trong một phân tích hôm thứ Năm rằng nhóm lạm dụng quảng cáo của Google với mục đích quảng cáo độc hại để phân phối các phiên bản cửa sau của các ứng dụng Kavach đa xác thực (MFA)
Công ty an ninh mạng cho biết các cuộc tấn công thu thập thông tin xác thực khối lượng thấp cũng đã được thực hiện bởi nhóm đe dọa. Các trang web lừa đảo giả dạng các trang web chính thức của chính phủ Ấn Độ đã được thiết lập để thu hút những người dùng vô tình nhập mật khẩu của họ.
Bộ lạc minh bạch, còn được biết đến với biệt danh APT36, Chiến dịch C-Major và Mythic Leopard, là một tập thể đối nghịch Pakistan bị nghi ngờ. Bộ lạc được xác định có một lịch sử tấn công các thực thể Ấn Độ và Afghanistan.
Chuỗi tấn công mới nhất không phải là lần đầu tiên kẻ đe dọa nhắm đến Kavach (nghĩa là “áo giáp” trong tiếng Hindi), một ứng dụng được người dùng có địa chỉ email trên miền @gov.in và @nic.in yêu cầu đăng nhập để đăng nhập đến dịch vụ email dưới dạng lớp xác thực thứ hai.
Đầu tháng 3 này, Cisco Talos đã tiết lộ một chiến dịch hack sử dụng các trình cài đặt Windows giả cho Kavach làm mồi nhử để lây nhiễm CrimsonRAT và các tạo phẩm khác cho nhân viên chính phủ.
Một trong những chiến thuật phổ biến của chúng là bắt chước các tổ chức hợp pháp của chính phủ, quân đội và các tổ chức có liên quan để kích hoạt killchain. Chiến dịch mới nhất do kẻ đe dọa tiến hành cũng không ngoại lệ.
Singh cho biết: “Tác nhân đe dọa đã đăng ký nhiều miền mới lưu trữ các trang web giả dạng cổng tải xuống ứng dụng Kavach chính thức. “Họ đã lạm dụng tính năng tìm kiếm có trả tiền của Google Ads để đẩy các miền độc hại lên đầu kết quả tìm kiếm của Google cho người dùng ở Ấn Độ.”
Kể từ tháng 5 năm 2022, Transparent Tribe cũng được cho là đã phân phối các phiên bản cửa sau của ứng dụng Kavach thông qua các cửa hàng ứng dụng do kẻ tấn công kiểm soát, những cửa hàng này tuyên bố cung cấp bản tải xuống phần mềm miễn phí.
Trang web này cũng xuất hiện ở vị trí kết quả hàng đầu trong các tìm kiếm của Google, hoạt động hiệu quả như một cổng để chuyển hướng người dùng đang tìm kiếm ứng dụng tới trình cài đặt lừa đảo dựa trên .NET.
Nhóm này, bắt đầu từ tháng 8 năm 2022, cũng đã bị phát hiện sử dụng một công cụ lọc dữ liệu không có giấy tờ trước đó có tên mã là LimePad, được thiết kế để tải các tệp quan tâm từ máy chủ bị nhiễm lên máy chủ của kẻ tấn công.
Zscaler cho biết họ cũng xác định một miền được đăng ký bởi Transparent Tribe giả mạo trang đăng nhập của ứng dụng Kavach chỉ hiển thị được truy cập từ một địa chỉ IP của Ấn Độ hoặc chuyển hướng khách truy cập đến trang chủ của Trung tâm Tin học Quốc gia Ấn Độ.
Về phần mình, trang này được trang bị để nắm bắt thông tin đăng nhập do nạn nhân nhập và gửi chúng đến một máy chủ từ xa để thực hiện các cuộc tấn công tiếp theo nhằm vào cơ sở hạ tầng liên quan đến chính phủ.
Việc sử dụng các quảng cáo của Google và LimePad chỉ ra những nỗ lực liên tục của tác nhân đe dọa trong việc phát triển và tinh chỉnh các chiến thuật cũng như bộ công cụ phần mềm độc hại của chúng.
“APT-36 tiếp tục là một trong những nhóm đe dọa dai dẳng tiên tiến phổ biến nhất tập trung vào mục tiêu người dùng làm việc trong các tổ chức chính phủ Ấn Độ,” Singh nói. “Các ứng dụng được sử dụng nội bộ tại các tổ chức chính phủ Ấn Độ là một lựa chọn phổ biến về chủ đề kỹ thuật xã hội được sử dụng bởi nhóm APT-36.”
Tiếng Việt 
English 
हिन्दी 
ગુજરાતી 
தமிழ் 
తెలుగు 
मराठी 
മലയാളം 
বাংলা 
Français de Belgique 
Deutsch (Schweiz) 
Deutsch (Sie) 
Deutsch 
English (Canada) 
English (New Zealand) 
English (UK) 
English (Australia) 
English (South Africa) 
Afrikaans 
اردو 
العربية 
Русский 
简体中文 
Azərbaycan dili 
অসমীয়া 
Magyar 
Bahasa Indonesia 
Español de Argentina 
Español de Colombia 
日本語 
Italiano 
Українська 
فارسی 
Français du Canada