چینی APT گروه Weaver Ant بیش از چهار سال در شبکه یک ارائه دهنده خدمات ارتباطی فعالیت میکرد و با استفاده از روترهای Zyxel CPE که به خطر افتاده بودند، ترافیک و زیرساخت خود را پنهان میکرد.

محققان شرکت Sygnia توانستند رد این هکرها را پیدا کنند و چندین نسخه از بکدور China Chopper و یک شل وب سفارشی قبلاً ناشناخته به نام INMemory را کشف کردند که پیلودهای مفید را در حافظه میزبان اجرا میکند.

به گفته محققان، پس از آنکه مهاجم یک اپراتور بزرگ مخابراتی آسیایی را هدف قرار داد، ریشه کن کردن حضور آن به رغم تلاشهای متعدد برای خنثی سازی فعالیتهایش، کار بسیار دشواری بود.

Weaver Ant
برای نفوذ خود از شبکهای از بلوک های رله عملیاتی (ORB) استفاده کرد که عمدتاً شامل روترهای Zyxel CPE بودند و این امکان را فراهم میکرد تا ترافیک را پروکسی کرده و زیرساخت خود را پنهان نگه دارد.

مهاجم با استفاده از یک نسخه رمزگذاری شده با AES از شل وب China Chopper در شبکه مستقر شد که امکان مدیریت از راه دور سرور ها را فراهم میکرد و محدودیت های فایروال را دور میزد.

با پیشرفت عملیات، Weaver Ant به یک شل وب پیشرفته تر و سفارشی به نام INMemory روی آورد که از یک فایل DLL (eval.dll) برای اجرای پنهانی کد «Just-in-Time» (JIT) استفاده میکرد.

همانطور که Sygnia اشاره کرده، روشهای استخراج داده ها نیز توسط این APT به گونه ای انتخاب شده بود که کمترین شک را برانگیزد، از جمله ضبط غیرفعال ترافیک شبکه با استفاده از mirroring پورت.

به جای استقرار جداگانه وب شل ها، گروه Weaver Ant آنها را از طریق تکنیک "تونل زنی وب شل ها" به هم مرتبط کرد - روشی که پیشتر در حملات گروه مالی Elephant Beetle مشاهده شده بود.

این روش شامل انتقال ترافیک HTTP از یک سرور به سرور دیگر از طریق بخش های مختلف شبکه است که در واقع یک شبکه C2 پنهان درون زیرساخت قربانی ایجاد میکند.

هر وب شل به عنوان یک پروکسی عمل کرده و پیلود های تو در تو و رمزنگاری شده را به وب شل های دیگر منتقل میکند تا به صورت مرحله ای درون شبکه اجرا شوند.

این رویکرد به Weaver Ant اجازه میداد روی سرورهای بخش های مختلف شبکه فعالیت کند.

بیشتر این سرورها، سیستم های داخلی بدون اتصال به اینترنت بودند که از طریق سرورهای دارای دسترسی اینترنتی (به عنوان دروازههای عملیاتی) قابل دسترسی میشدند.

یافته های Sygnia نشان میدهد Weaver Ant به صورت افقی در شبکه حرکت میکرد و از منابع اشتراکی SMB و حساب های دارای دسترسی بالا استفاده میکرد که سالها با یک رمز عبور ثابت (اغلب با هش NTLM) کار میکردند.

در طول چهار سال جاسوسی سایبری، هکرها فایل های پیکربندی، لاگ های دسترسی و اعتبارنامه ها را سرقت کردند تا محیط را نقشه برداری و سیستمهای ارزشمند را شناسایی کنند.

آنها مکانیسم های ثبت رویداد را غیرفعال میکردند، از جمله اصلاح ETW (ردیابی رویدادهای ویندوز) و دور زدن AMSI (با بازنویسی تابع AmsiScanBuffer در ماژول amsi.dll) تا حجم بدافزار را کاهش داده و مدت طولانی تری بدون شناسایی بمانند.

محققان Weaver Ant را یک APT حرفه ای و باتجربه میدانند که قادر به حفظ دسترسی بلندمدت به شبکه قربانی برای عملیات جاسوسی سایبری است.

این انتساب بر اساس استفاده از روترهای Zyxel (که در برخی مناطق جغرافیایی محبوب هستند)، بکدورهای مرتبط با گروههای چینی و ساعات فعالیت گروه (مطابق با ساعت گرینویچ +8) انجام شده است.

به نظر میرسد تمرکز مهاجمان بیشتر بر شناسایی شبکه، جمعآوری اعتبارنامه ها و حفظ دسترسی پایدار به زیرساختهای مخابراتی بوده تا سرقت دادههای کاربری یا مالی.

@PfkSecurity