Et omfattende nettverk av kineskspråklige gamblingnettsteder hjelper trusselaktører med å skjule infrastruktur for skadevare og spionasje. Forskere advarer om at sikkerhetsteam ofte avfeier disse domenene som harmløse brudd på selskapets retningslinjer.
Forskere sporer 1,7 millioner kasinonettsteder
Infoblox sier at selskapet sporer rundt 1,7 millioner kineskspråklige kasinonettsteder knyttet til ulovlig gambling. Ifølge selskapet legger disse virksomhetene også til rette for skatteunndragelse og nordkoreansk hvitvasking av penger.
Forskerne fant imidlertid en mer direkte cybersikkerhetstrussel i dette omfattende nettverket. Enkelte nettsteder skjuler command-and-control-infrastruktur knyttet til skadevarerammeverket PeckBirdy.
Lite kjente Kina-tilknyttede APT-grupper skal bruke PeckBirdy mot selskaper og myndigheter over hele Asia.
Omfanget av kasinoøkosystemet hjelper ondsinnet aktivitet med å gli inn i store mengder mistenkelig, men tilsynelatende vanlig gamblingtrafikk. Dermed kan forsvarere overse et alvorlig innbrudd etter å ha klassifisert et varsel som et tilfelle der en ansatt bryter selskapets retningslinjer for nettbruk.
PeckBirdy bruker gamblingnettsteder som dekke
PeckBirdy bruker JScript, et eldre skriptspråk som kan kjøres i ulike eksekveringsmiljøer. Trusselaktører har distribuert rammeverket gjennom kineskspråklige gambling- og voksennettsteder.
Noen av disse nettstedene tilbyr faktiske ulovlige gamblingtjenester og til og med kundestøtte. Fastlands-Kina har forbudt gambling i flere tiår, men offshoreoperatører fortsetter å rette seg mot kineskspråklige brukere.
Andre nettsteder etterligner bare legitime nettkasinoer. Gamblinggrensesnittene deres fungerer som kulisser som skjuler distribusjon av skadevare og command-and-control-aktivitet.
Infoblox identifiserte også et PeckBirdy-domene for command-and-control som ikke hadde noen registrerte funn på VirusTotal da selskapet publiserte resultatene sine. Dette gjorde det mulig for infrastrukturen å operere uten å utløse varsler fra skannetjenesten.
Falske oppdateringer lurer besøkende til å installere skadevare
I én kampanje injiserte angripere ondsinnede skript i gamblingnettsteder. Disse skriptene lastet inn PeckBirdy og viste falske sider for programvareoppdateringer.
De falske varslene forsøkte å overtale besøkende til å laste ned og installere skadevare. Fordi sidene dukket opp gjennom nettsteder som allerede så mistenkelige ut, kunne sikkerhetsteam lett feilklassifisere aktiviteten.
Forskerne fant også PeckBirdy-lenker på kompromitterte offentlige nettsteder. I andre tilfeller kjørte angriperne rammeverket gjennom MSHTA.
MSHTA er en legitim Windows-komponent som kjører Microsoft HTML Application-kode. Nettkriminelle misbruker ofte slike pålitelige systemverktøy fordi de kan hjelpe ondsinnede skript med å unngå oppdagelse.
Store skyplattformer er vert for deler av nettverket
Noen av kasinonettstedene bruker infrastruktur fra store amerikanske sky- og teknologileverandører. Forskerne identifiserte tjenester knyttet til Amazon, Microsoft, Cloudflare og Google.
Selskapene støtter ikke nødvendigvis de ondsinnede operasjonene med vitende vilje. I stedet kan angriperne bruke stjålne kontoer eller på andre måter skjule hvem som faktisk eier infrastrukturen.
Infoblox beskrev denne praksisen som infrastrukturell hvitvasking. Trusselaktører bruker anerkjente hostingplattformer for å få ondsinnede systemer til å fremstå som mer pålitelige og vanskeligere å stanse.
Denne tilnærmingen skaper en betydelig utfordring for forsvarere. Å blokkere store skyleverandører fullstendig kan forstyrre legitim forretningsdrift. Samtidig kan angripere flytte mellom kontoer, domener og tjenester.
Sikkerhetsteam kan avfeie viktige varsler
Det kinesiske nettverket med kasin skadevare drar nytte av hvordan organisasjoner klassifiserer risikofylt nettaktivitet.
Et sikkerhetsvarsel som involverer et gambling- eller voksennettsted, kan se ut til å vise at en ansatt bare bryter selskapets retningslinjer. Derfor kan en analytiker avslutte saken uten å undersøke domenets nettverkstilkoblinger eller nedlastede innhold.
PeckBirdy-operatørene er avhengige av denne reaksjonen. De fleste av disse nettstedene ligner faktisk på de ulovlige gambling- eller voksenplattformene de utgir seg for å være, noe som gjør den første avvisningen tilsynelatende rimelig.
De samme domenene kan imidlertid laste inn ondsinnede skript, omdirigere besøkende til falske oppdateringer eller kommunisere med command-and-control-servere.
Forsvarere bør undersøke kasinodomener
Infoblox oppfordrer sikkerhetsteam til å slutte å behandle alle varsler knyttet til kasinodomener som rutinemessige hendelser relatert til nettbruk. Analytikere bør undersøke tilknyttede nedlastinger, skript, omdirigeringer og eksterne tilkoblinger før de lukker et varsel.
De bør også undersøke aktivitet som involverer ukjente kineskspråklige gambling- og voksennettsteder. Tilkoblinger til anerkjent skyinfrastruktur betyr ikke automatisk at et domene er trygt.
Forskningen viser hvordan angripere kan skjule sofistikerte kampanjer i et økosystem som forsvarere allerede anser som useriøst. Ved å utnytte denne antakelsen kan kinesiske operatører av kasin skadevare skjule spionasjeaktivitet i full åpenhet.
0 responses to “Kinesisk nettverk med kasin skadevare skjuler PeckBirdy-angrep”