APT-K-47 sử dụng mồi nhử theo chủ đề Hajj để phân phối phần mềm độc hại Asyncshell nâng cao
Kẻ tấn công có tên Mysterious Elephant đã bị phát hiện sử dụng phiên bản phần mềm độc hại nâng cao có tên là Asyncshell.
Nhóm Knownsec 404 cho biết trong một bản phân tích được công bố ngày hôm nay rằng chiến dịch tấn công này được cho là đã sử dụng các mồi nhử có chủ đề Hajj để lừa nạn nhân thực thi một phần mềm độc hại dưới dạng tệp Trợ giúp HTML biên dịch của Microsoft (CHM) .[](https://medium.com/@knownsec404team/unveiling-the-past-and-present-of-apt-k-47-weapon-asyncshell-5a98f75c2d68)
Mysterious Elephant, còn được gọi là APT-K-47, là một tác nhân đe dọa có nguồn gốc từ Nam Á đã hoạt động ít nhất từ năm 2022, chủ yếu nhắm vào các thực thể Pakistan.
Chiến thuật và công cụ của nhóm này được phát hiện có điểm tương đồng với các tác nhân đe dọa khác hoạt động trong khu vực, chẳng hạn như SideWinder, Confucius và Bitter.
Vào tháng 10 năm 2023, nhóm này có liên quan đến một chiến dịch lừa đảo qua email nhằm phát tán một phần mềm gián điệp có tên ORPCBackdoor như một phần của các cuộc tấn công nhằm vào Pakistan và các quốc gia khác.
Không rõ vectơ truy cập ban đầu chính xác mà Mysterious Elephant sử dụng trong chiến dịch mới nhất, nhưng có khả năng là liên quan đến việc sử dụng email lừa đảo. Phương pháp này dẫn đến việc phân phối tệp lưu trữ ZIP chứa hai tệp: tệp CHM tự nhận là về chính sách Hajj năm 2024 và tệp thực thi ẩn.
Khi CHM được khởi chạy, nó được dùng để hiển thị một tài liệu giả, một tệp PDF hợp pháp được lưu trữ trên trang web của Bộ Tôn giáo Pakistan và Liên tôn Hòa hợp, trong khi tệp nhị phân được thực thi một cách bí mật ở chế độ nền.
Một phần mềm độc hại tương đối đơn giản, được thiết kế để thiết lập một shell cmd với một máy chủ từ xa, với Knownsec 404 xác định các điểm chồng chéo về chức năng với Asyncshell, một công cụ khác mà kẻ tấn công đã sử dụng nhiều lần kể từ nửa cuối năm 2023.
Cho đến nay đã có tới bốn phiên bản khác nhau của Asyncshell được phát hiện, tự hào có khả năng thực thi lệnh cmd và PowerShell. Chuỗi tấn công ban đầu phân phối phần mềm độc hại đã được phát hiện là lợi dụng lỗ hổng bảo mật WinRAR ( CVE-2023-38831 , điểm CVSS: 7.8) để kích hoạt nhiễm trùng.
Hơn nữa, các phiên bản tiếp theo của phần mềm độc hại đã chuyển từ sử dụng TCP sang HTTPS để liên lạc chỉ huy và kiểm soát (C2), chưa kể đến việc sử dụng trình tự tấn công được cập nhật sử dụng Visual Basic Script để hiển thị tài liệu mồi nhử và khởi chạy nó thông qua một tác vụ được lên lịch.
Nhóm Knownsec 404 cho biết: "Có thể thấy rằng APT-K-47 đã thường xuyên sử dụng Asyncshell để phát động các hoạt động tấn công kể từ năm 2023 và đã dần nâng cấp chuỗi tấn công và mã tải trọng".
"Trong các hoạt động tấn công gần đây, nhóm này đã khéo léo sử dụng các yêu cầu dịch vụ được ngụy trang để kiểm soát địa chỉ máy chủ shell cuối cùng, thay đổi từ C2 cố định của các phiên bản trước thành C2 có thể thay đổi, điều này cho thấy tầm quan trọng mà tổ chức APT-k-47 đặt vào Asyncshell."