Grup peretasan China yang sebelumnya tidak dikenal yang dikenal sebagai ‘Space Pirates’ menargetkan perusahaan di industri kedirgantaraan Rusia dengan email phishing untuk menginstal malware baru di sistem mereka.
Kelompok ancaman diyakini telah mulai beroperasi pada tahun 2017, dan meskipun memiliki tautan ke kelompok-kelompok yang dikenal seperti APT41 (Winnti), Mustang Panda, dan APT27, itu dianggap sebagai kelompok baru aktivitas jahat.
Analis ancaman Rusia di Positive Technologies menamai kelompok itu “Space Pirates” karena operasi spionase mereka yang berfokus pada mencuri informasi rahasia dari perusahaan di bidang kedirgantaraan.
Grup Space Pirates APT terlihat menargetkan lembaga pemerintah dan perusahaan yang terlibat dalam layanan TI, kedirgantaraan, dan industri tenaga listrik yang berlokasi di Rusia, Georgia, dan Mongolia.
Analis ancaman pertama kali menemukan tanda-tanda aktivitas Space Pirates musim panas lalu selama respons insiden dan dengan cepat mengonfirmasi bahwa pelaku ancaman menggunakan malware dan infrastruktur yang sama terhadap setidaknya empat entitas domestik lagi sejak 2019.
Dua dari kasus ini menyangkut perusahaan Rusia dengan partisipasi negara, yang berhasil dikompromikan oleh peretas.
Dalam kasus pertama, pelaku ancaman mempertahankan akses mereka ke 20 server selama sepuluh bulan, mencuri lebih dari 1.500 dokumen, detail karyawan, dan data sensitif lainnya.
Dalam kasus kedua, peretas China tetap berada di jaringan perusahaan yang disusupi selama lebih dari setahun, menyedot informasi rahasia dan memasang malware mereka ke 12 node jaringan perusahaan di tiga wilayah berbeda.
Gudang Bajak Laut Luar Angkasa terdiri dari pemuat khusus yang bersembunyi di balik dokumen umpan, pintu belakang yang sedikit dimodifikasi yang telah ada selama bertahun-tahun, malware merek dagang Cina PlugX, dan putaran khusus pintu belakang PcShare.
Selain itu, serangan Space Pirates juga menggunakan ShadowPad, Zupdax, PoisonIvy, dan ReVBShell dalam serangan.
Selain di atas, APT yang baru ditemukan menggunakan tiga alat malware modular yang sebelumnya tidak terdokumentasi, yaitu Deed RAT, BH_A006, dan MyKLoadClient.
Alat kustom lain yang menarik adalah Deed RAT, yang menampilkan metode yang tidak biasa dan cerdas untuk mentransfer kontrol ke shellcode.
Fungsi Deed RAT bergantung pada plugin mana yang diambil dan dimuat. Misalnya, PT telah melihat delapan plugin untuk startup, konfigurasi C2, instalasi, injeksi kode ke dalam proses, interaksi jaringan, manajemen koneksi, pengeditan registri, pemantauan registri, dan sniffing proxy.
Protokol yang didukung untuk komunikasi C2 termasuk TCP, TLS, HTTP, HTTPS, UDP, dan DNS, jadi umumnya ada tingkat keserbagunaan yang tinggi.
Perintah-perintah yang didukung oleh Deed RAT adalah sebagai berikut:
- Kumpulkan informasi sistem
- Buat saluran komunikasi terpisah untuk plugin
- Hapus sendiri
Analis ancaman percaya bahwa tumpang tindih antara berbagai APT China disebabkan oleh pertukaran alat, fenomena umum bagi peretas di wilayah tersebut.
Menggunakan alat bersama semakin mengaburkan jejak kelompok ancaman yang berbeda dan membuat pekerjaan analis jauh lebih sulit, sehingga APT China memiliki banyak alasan untuk mengikuti praktik ini.
Space Pirates juga terlihat menyebarkan malware khusus mereka di beberapa perusahaan China untuk keuntungan finansial, sehingga kelompok ancaman mungkin memiliki fungsi ganda.
Spionase adalah operasi standar untuk APT China, dan Rusia adalah target valid yang unggul di bidang kedirgantaraan, senjata, teknik listrik, pembuatan kapal, dan teknologi nuklir.
Sumber:Bleeping Computer
