الكيانات الموجودة في أفغانستان وماليزيا وباكستان في مرمى حملة هجوم تستهدف خوادم Microsoft Exchange غير المصححة باعتبارها متجه وصول أولي لنشر برنامج ShadowPad الضار.
عزت شركة الأمن السيبراني الروسية كاسبرسكي ، التي اكتشفت النشاط لأول مرة في منتصف أكتوبر 2021 ، ذلك إلى جهة تهديد غير معروفة سابقًا تتحدث اللغة الصينية. تشمل الأهداف المنظمات في قطاعات الاتصالات والتصنيع والنقل.
وقالت الشركة: "خلال الهجمات الأولية ، استغلت المجموعة ثغرة أمنية في MS Exchange لنشر برنامج ShadowPad الخبيث وتسللت إلى أنظمة أتمتة المباني لأحد الضحايا". "من خلال السيطرة على هذه الأنظمة ، يمكن للمهاجم الوصول إلى أنظمة أخرى أكثر حساسية من التنظيم المهاجم."
ShadowPad ، التي ظهرت في عام 2015 خلفًا لـ PlugX ، هي عبارة عن منصة برمجيات خبيثة معيارية تم بيعها بشكل خاص تم استخدامها من قبل العديد من ممثلي التجسس الصينيين على مر السنين.
في حين أن تصميمه يسمح للمستخدمين بنشر مكونات إضافية عن بُعد يمكنها توسيع وظائفها إلى ما بعد جمع البيانات السرية ، فإن ما يجعل ShadowPad خطيرًا هو تقنية مكافحة الطب الشرعي ومكافحة التحليل المدمجة في البرامج الضارة.
قال كاسبيرسكي: "خلال هجمات الممثل المرصود ، تم تنزيل الباب الخلفي ShadowPad على أجهزة الكمبيوتر التي تمت مهاجمتها تحت ستار البرامج الشرعية". "في كثير من الحالات ، استغلت المجموعة المهاجمة ثغرة أمنية معروفة في MS Exchange ، وأدخلت الأوامر يدويًا ، مما يشير إلى الطبيعة شديدة الاستهداف لحملاتهم."
تشير الدلائل إلى أن عمليات الاقتحام التي قام بها الخصم بدأت في مارس 2021 ، في الوقت الذي أصبحت فيه نقاط الضعف في ProxyLogon في خوادم Exchange معرفة عامة. يُقال إن بعض الأهداف قد تم اختراقها من خلال استغلال CVE-2021-26855 ، وهي ثغرة أمنية في طلب التزوير من جانب الخادم (SSRF) في خادم البريد.
إلى جانب نشر ShadowPad كـ "mscoree.dll" ، أحد مكونات Microsoft .NET Framework الأصلية ، تضمنت الهجمات أيضًا استخدام Cobalt Strike ، وهو متغير PlugX يسمى THOR ، وقذائف الويب للوصول عن بُعد.
على الرغم من أن الأهداف النهائية للحملة لا تزال غير معروفة ، يُعتقد أن المهاجمين مهتمون بجمع المعلومات الاستخباراتية على المدى الطويل.
وقال كيريل كروغلوف الباحث في مركز الاستجابة لطوارئ الحاسب الآلي في كاسبرسكي ، كيريل كروغلوف: "يعد بناء أنظمة التشغيل الآلي أهدافًا نادرة للجهات الفاعلة في مجال التهديد المتقدم". "ومع ذلك ، يمكن أن تكون هذه الأنظمة مصدرًا قيمًا للمعلومات شديدة السرية وقد توفر للمهاجمين بابًا خلفيًا لمناطق أخرى أكثر أمانًا من البنى التحتية."