Et omfattende netværk af kinesksprogede gamblingwebsites hjælper trusselsaktører med at skjule infrastruktur til malware og spionage. Forskere advarer om, at sikkerhedsteams ofte afviser disse domæner som harmløse overtrædelser af virksomhedens politikker.
Forskere sporer 1,7 millioner casinosider
Infoblox oplyser, at virksomheden sporer omkring 1,7 millioner kinesksprogede casinowebsites med forbindelse til ulovlig gambling. Ifølge virksomheden faciliterer disse aktiviteter også skatteunddragelse og nordkoreansk hvidvaskning af penge.
Forskerne fandt dog en mere direkte cybersikkerhedstrussel i dette omfattende netværk. Nogle websites skjuler command-and-control-infrastruktur, der er forbundet med malware-frameworket PeckBirdy.
Mindre kendte Kina-tilknyttede APT-grupper bruger angiveligt PeckBirdy mod virksomheder og myndigheder i hele Asien.
Casinoøkosystemets omfang hjælper ondsindet aktivitet med at blande sig med store mængder mistænkelig, men tilsyneladende almindelig gamblingtrafik. Derfor kan forsvarere overse et alvorligt indbrud efter at have klassificeret en advarsel som et tilfælde, hvor en medarbejder overtræder virksomhedens regler for internetbrug.
PeckBirdy bruger gamblingsider som dække
PeckBirdy bruger JScript, et ældre scriptsprog, der kan køre i forskellige eksekveringsmiljøer. Trusselsaktører har distribueret frameworket via kinesksprogede gambling- og voksenwebsites.
Nogle af disse websites tilbyder reelle ulovlige gamblingtjenester og endda kundesupport. Fastlands-Kina har forbudt gambling i årtier, men offshoreoperatører fortsætter med at målrette kinesisktalende brugere.
Andre websites efterligner blot legitime onlinecasinoer. Deres gamblinggrænseflader fungerer som kulisser, der skjuler levering af malware og command-and-control-aktivitet.
Infoblox identificerede også et PeckBirdy command-and-control-domæne, som ikke havde nogen registrerede fund på VirusTotal, da virksomheden offentliggjorde sine resultater. Det gjorde det muligt for infrastrukturen at operere uden at udløse advarsler fra scanningstjenesten.
Falske opdateringer narrer besøgende til at installere malware
I en kampagne injicerede angribere ondsindede scripts i gamblingwebsites. Disse scripts indlæste PeckBirdy og viste falske sider med softwareopdateringer.
De falske meddelelser forsøgte at overtale besøgende til at downloade og installere malware. Fordi siderne blev vist gennem websites, der allerede så mistænkelige ud, kunne sikkerhedsteams nemt fejlklassificere aktiviteten.
Forskerne fandt også PeckBirdy-links på kompromitterede myndighedswebsites. I andre tilfælde kørte angriberne frameworket gennem MSHTA.
MSHTA er en legitim Windows-komponent, der kører Microsoft HTML Application-kode. Cyberkriminelle misbruger ofte sådanne betroede systemværktøjer, fordi de kan hjælpe ondsindede scripts med at undgå opdagelse.
Store cloudplatforme hoster dele af netværket
Nogle af casinosiderne bruger infrastruktur fra store amerikanske cloud- og teknologileverandører. Forskerne identificerede tjenester forbundet med Amazon, Microsoft, Cloudflare og Google.
Virksomhederne støtter ikke nødvendigvis de ondsindede aktiviteter bevidst. I stedet kan angriberne bruge stjålne konti eller på anden måde skjule, hvem der reelt ejer infrastrukturen.
Infoblox beskrev denne praksis som infrastrukturell hvidvaskning. Trusselsaktører bruger velrenommerede hostingplatforme til at få ondsindede systemer til at fremstå mere troværdige og sværere at lukke ned.
Denne tilgang skaber en betydelig udfordring for forsvarere. En fuldstændig blokering af store cloududbydere kan forstyrre legitim forretningsdrift. Samtidig kan angribere flytte mellem konti, domæner og tjenester.
Sikkerhedsteams kan afvise vigtige advarsler
Det kinesiske netværk med casino-malware drager fordel af den måde, organisationer klassificerer risikofyldt internetaktivitet på.
En sikkerhedsadvarsel, der involverer et gambling- eller voksenwebsite, kan se ud til blot at vise, at en medarbejder overtræder virksomhedens politik. Derfor kan en analytiker lukke sagen uden at undersøge domænets netværksforbindelser eller downloadede indhold.
PeckBirdy-operatørerne er afhængige af denne reaktion. De fleste af disse websites ligner faktisk de ulovlige gambling- eller voksenplatforme, de udgiver sig for at være, hvilket får den første afvisning til at virke rimelig.
De samme domæner kan dog indlæse ondsindede scripts, omdirigere besøgende til falske opdateringer eller kommunikere med command-and-control-servere.
Forsvarere bør undersøge casinodomæner
Infoblox opfordrer sikkerhedsteams til at stoppe med at behandle alle advarsler om casinodomæner som rutinemæssige hændelser relateret til internetbrug. Analytikere bør undersøge relaterede downloads, scripts, omdirigeringer og eksterne forbindelser, før de lukker en advarsel.
De bør også undersøge aktivitet, der involverer ukendte kinesksprogede gambling- og voksenwebsites. Forbindelser til velrenommeret cloudinfrastruktur betyder ikke automatisk, at et domæne er sikkert.
Forskningen viser, hvordan angribere kan skjule sofistikerede kampagner i et økosystem, som forsvarere allerede betragter som lyssky. Ved at udnytte denne antagelse kan kinesiske operatører af casino-malware skjule spionageaktivitet i fuldt dagslys.
0 svar til “Kinesisk netværk med casino-malware skjuler PeckBirdy-angreb”