Facebook otkrio ko stoji iza napada grupe APT 32 na profile korisnika društvene mreže

Društvene mreže, 11.12.2020, 12:00 PM

Istraživači Facebooka povezali su aktivnosti vijetnamske hakerske grupe APT32 (Bismuth, OceanLotus, Cobalt Kitty) sa IT kompanijom iz te zemlje nakon što je grupa uhvaćena u zloupotrebi Facebookove platforme, hakovanju naloga i distribuciji malvera.

Grupu APT32 čine državni operativci povezani sa vijetnamskom vladom koji su poznati po organizovanju sofisticiranih špijunskih kampanja za koje se zna od 2012. godine, a koje sprovode u skladu sa strateškim interesima svoje zemlje.

„Naša istraga je povezala ovu aktivnost sa CyberOne Group, IT kompanijom iz Vijetnama (poznatom i kao CyberOne Security, CyberOne Technologies, Hanh Tinh Company Limited, Planet i Diacauso)“, rekli su istraživači iz Facebooka.

Facebookovo razotkrivanje APT32 usledilo je nekoliko meseci nakon što je firma Volexity otkrila napade pokrenute sa više lažnih veb sajtova i Facebook stranica, preusmeravanje posetilaca na fišing stranice i širenje malvera za Windows i macOS.

I ESET je izvestio o sličnoj operaciji na Facebookovoj platformi u decembru 2019. godine, kada su napadači koristili objave i poruke sa linkovima do maliciozne arhive hostovane na Dropboxu.

Grupa je poznata po alatima za hakovanje koje neprestano unapređuje i dokumentima koje koristi kao mamac, kao i tzv. watering-hole napadima, a sve sa ciljem privlačenja potencijalnih žrtava koje treba nekako naterati da pokrenu backdoor koji služi napadačima za krađu osetljivih informacija.

OceanLotus se proslavio početkom prošle godine agresivnim napadima na prozvođače automobila a sa ciljem da doprinese proizvodnji automobila u svojoj zemlji.

Tokom vrhunca pandemije COVID-19, APT32 je sprovodio napade protiv kineskih ciljeva, uključujući Ministarstvo za vanredne situacije, sa namerom da prikupi obaveštajne podatke o krizi COVID-19.

Prošlog meseca, istraživači kompanije Trend Micro otkrili su novu kampanju ove grupe koja koristi novi macOS backdoor koji omogućava napadačima da prisluškuju i kradu poverljive informacije i osetljive poslovne dokumente sa zaraženih uređaja.

Pre dve nedelje Microsoft je objasnio taktiku OceanLotusa koja uključuje upotrebu tehnika kopanja kriptovalute kako bi se ostalo ispod radara i uspostavila postojanost na sistemima žrtava, što otežava razlikovanje finansijski motivisanog sajber kriminala od napada čiji je cilj prikupljanje obaveštajnih podataka.

Sada je, prema onome što se moglo saznati od istraživača iz Facebooka, APT32 stvorio fiktivne ličnosti, predstavljajući ih kao aktiviste i poslovne subjekte. Grupa je koristila romantiku kao mamac da bi prevarila žrtve da preuzmu Android aplikacije iz Google Play prodavnice koje su imale širok spektar dozvola koje su obezbeđivale nadzor uređaja.

Iz Facebooka su rekli da je operacija koju su otkrili dobro finansirana i usresređena na mnogo ciljeva odjednom. Kompanija je blokirala objavljivanje povezanih domena na platformi, uklonila naloge grupe i obavestila ljude za koje je smatrala da su na meti APT32.