Ett omfattande nätverk av kineskspråkiga spelsajter hjälper hotaktörer att dölja infrastruktur för malware och cyberspionage. Forskare varnar för att säkerhetsteam ofta avfärdar dessa domäner som harmlösa policyöverträdelser.
Forskare spårar 1,7 miljoner kasinosajter
Infoblox uppger att företaget spårar omkring 1,7 miljoner kineskspråkiga kasinosajter kopplade till olagligt spelande. Enligt företaget underlättar dessa verksamheter även skatteundandragande och nordkoreansk penningtvätt.
Forskarna hittade dock ett mer direkt cybersäkerhetshot inom detta omfattande nätverk. Vissa sajter döljer command-and-control-infrastruktur som är kopplad till malwareramverket PeckBirdy.
Mindre kända Kinaanknutna APT-grupper uppges använda PeckBirdy mot företags- och myndighetsmål i Asien.
Kasinoekosystemets omfattning hjälper skadlig aktivitet att smälta in i stora mängder misstänkt men till synes vanlig speltrafik. Därför kan försvarare missa ett allvarligt intrång efter att ha klassificerat en varning som ett fall där en anställd brutit mot företagets surfpolicy.
PeckBirdy använder spelsajter som täckmantel
PeckBirdy använder JScript, ett äldre skriptspråk som kan köras i olika exekveringsmiljöer. Hotaktörer har distribuerat ramverket via kineskspråkiga spel- och vuxensajter.
Vissa av dessa sajter erbjuder faktiska olagliga speltjänster och till och med kundsupport. Fastlands-Kina har förbjudit spelande i årtionden, men offshoreoperatörer fortsätter att rikta sig mot kineskspråkiga användare.
Andra webbplatser imiterar bara legitima onlinekasinon. Deras spelgränssnitt fungerar som kulisser som döljer leverans av malware och command-and-control-aktivitet.
Infoblox identifierade också en PeckBirdy-domän för command-and-control som inte hade några upptäckter på VirusTotal när företaget publicerade sina resultat. Detta gjorde att infrastrukturen kunde fungera utan att utlösa varningar från skanningstjänsten.
Falska uppdateringar lurar besökare att installera malware
I en kampanj injicerade angripare skadliga skript på spelsajter. Dessa skript laddade PeckBirdy och visade falska sidor för programvaruuppdateringar.
De falska meddelandena försökte övertala besökare att ladda ner och installera malware. Eftersom sidorna visades via webbplatser som redan såg misstänkta ut kunde säkerhetsteam enkelt felklassificera aktiviteten.
Forskarna hittade även PeckBirdy-länkar på komprometterade myndighetswebbplatser. I andra fall körde angriparna ramverket via MSHTA.
MSHTA är en legitim Windows-komponent som kör Microsoft HTML Application-kod. Cyberkriminella missbrukar ofta sådana betrodda systemverktyg eftersom de kan hjälpa skadliga skript att undvika upptäckt.
Stora molnplattformar är värdar för delar av nätverket
Vissa av kasinosajterna använder infrastruktur från stora amerikanska moln- och teknikleverantörer. Forskarna identifierade tjänster kopplade till Amazon, Microsoft, Cloudflare och Google.
Företagen behöver inte medvetet stödja de skadliga verksamheterna. Angripare kan i stället använda stulna konton eller på andra sätt dölja vem som faktiskt äger infrastrukturen.
Infoblox beskrev metoden som infrastrukturtvätt. Hotaktörer använder välrenommerade hostingplattformar för att få skadliga system att framstå som mer pålitliga och svårare att slå ut.
Detta tillvägagångssätt skapar en betydande utmaning för försvarare. Att helt blockera stora molnleverantörer kan störa legitim affärsverksamhet. Samtidigt kan angripare flytta mellan konton, domäner och tjänster.
Säkerhetsteam kan avfärda viktiga varningar
Det kinesiska nätverket för kasinomalware drar nytta av hur organisationer klassificerar riskfylld surfaktivitet.
En säkerhetsvarning som involverar en spel- eller vuxensajt kan verka visa enbart att en anställd bryter mot företagets policy. Därför kan en analytiker avsluta ärendet utan att undersöka domänens nätverksanslutningar eller nedladdade innehåll.
PeckBirdy-operatörerna förlitar sig på denna reaktion. De flesta av dessa webbplatser liknar faktiskt de olagliga spel- eller vuxenplattformar som de utger sig för att vara, vilket gör det första avfärdandet till synes rimligt.
Samma domäner kan dock ladda skadliga skript, omdirigera besökare till falska uppdateringar eller kommunicera med command-and-control-servrar.
Försvarare bör undersöka kasinodomäner
Infoblox uppmanar säkerhetsteam att sluta behandla alla varningar som rör kasinodomäner som rutinmässiga surfincidenter. Analytiker bör undersöka relaterade nedladdningar, skript, omdirigeringar och externa anslutningar innan de avslutar en varning.
De bör också granska aktivitet som involverar okända kineskspråkiga spel- och vuxensajter. Anslutningar till välrenommerad molninfrastruktur innebär inte automatiskt att en domän är säker.
Forskningen visar hur angripare kan dölja sofistikerade kampanjer i ett ekosystem som försvarare redan betraktar som oseriöst. Genom att utnyttja detta antagande kan kinesiska operatörer av kasinomalware dölja spionageaktivitet mitt framför ögonen på säkerhetsteamen.
0 svar till ”Kinesiskt kasinomalware-nätverk döljer PeckBirdy-attacker”