{"id":5000,"date":"2023-06-24T18:37:39","date_gmt":"2023-06-24T16:37:39","guid":{"rendered":"https:\/\/sajberinfo.com\/?p=5000"},"modified":"2023-06-24T18:37:39","modified_gmt":"2023-06-24T16:37:39","slug":"kineska-apt15-grupa-i-graphican-zlonamjerni-softver","status":"publish","type":"post","link":"http:\/\/sajberinfo.com\/en\/2023\/06\/24\/kineska-apt15-grupa-i-graphican-zlonamjerni-softver\/","title":{"rendered":"Kineska APT15 grupa i Graphican zlonamjerni softver"},"content":{"rendered":"

Sigurnosni istra\u017eiva\u010di Symantec<\/em> Threat<\/em> Hunter<\/em> Team<\/em> su otkrili<\/a> naprednu trajnu prijetnju \u2013 APT<\/em><\/a> iza koje stoji grupa pod nazivom Flea<\/em>, poznata jo\u0161 kao APT15<\/em> i Nickel<\/em>, porijeklom iz Kine.<\/span><\/p>\n

\"APT15\"

Kineska APT15 grupa i Graphican zlonamjerni softver; Dizajn: Sa\u0161a \u0110uri\u0107<\/em><\/p><\/div>\n

Kampanja je trajala od kraja 2022. godine do po\u010detka 2023. godine. Ova kampanja je prvenstveno bila fokusirana na ministarstva spoljnih poslova u Americi, iako je grupa tako\u0111e ciljala na vladino odjeljenje za finansije u jednoj zemlji u Americi i na korporaciju koja prodaje proizvode u Centralnoj i Ju\u017enoj Americi. Postojala je i jedna \u017ertva sa sjedi\u0161tem u jednoj evropskoj zemlji.<\/span><\/p>\n

 <\/p>\n

Graphican<\/em> zlonamjerni softver<\/strong><\/span><\/h2>\n

Graphican<\/em> zlonamjerni softver<\/a> je evoluirao iz Flea<\/em> Ketrican<\/em> backdoor<\/em>-a, koji je bio zasnovan na prethodnom zlonamjernom softveru \u2014 BS2005<\/em>. Sli\u010dnosti u funkcionalnosti izme\u0111u Graphican<\/em> i Ketrican<\/em> zlonamjernih softvera ukazuju na to da grupa nije mnogo zabrinuta zbog toga \u0161to joj se pripisuje aktivnost.<\/span><\/p>\n

Uzorci Graphican<\/em> zlonamjernog softvera koji su analizirani, otkrivaju da on nije imao \u010dvrsto kodirani komandni i kontrolni server, ve\u0107 se povezivao na OneDrive<\/em> preko Microsoft<\/em> Graph<\/em> API<\/em> funkcionalnosti da bi dobio \u0161ifrovanu adresu komandnog i kontrolnog servera iz podre\u0111ene fascikle unutar fascikle \u201c<\/em>Person\u201d,<\/em> a zatim je dekodirao ime fascikle i i to ime koristio ga kao komandni i kontrolni server za zlonamjerni softver.<\/span><\/p>\n

 <\/p>\n

\u201cGraphican ima istu osnovnu funkcionalnost kao Ketrican, s tim \u0161to je razlika izme\u0111u njih \u0161to Graphican koristi Microsoft Graph API i OneDrive za dobijanje svoje infrastrukture za komandu i kontrolu (C&C). Sve instance ove varijante koristile su iste parametre za autentifikaciju za Microsoft Graph API.\u201d<\/em><\/span><\/p>\n

\u00a0<\/em><\/span>– Symantec –<\/em><\/span><\/p>\n<\/blockquote>\n

 <\/p>\n

Posebno je zna\u010dajno kori\u0161tenje Microsoft<\/em> Graph<\/em> API<\/em> funkcionalnosti i OneDrive<\/em> platforme za prikriveno dobijanje infrastrukturnih adresa za komandu i kontrolu (C2<\/em>) u \u0161ifriranom obliku<\/a>, daju\u0107i mu svestranost i otpornost na uklanjanje.<\/span><\/p>\n

 <\/p>\n

Funkcionisanje<\/strong><\/span><\/h3>\n

Graphican<\/em> mo\u017ee kreirati interaktivnu komandnu liniju kojom se mo\u017ee kontrolisati sa servera, preuzimati datoteke na mre\u017enom \u010dvoru i postavljati tajne procese za prikupljanje podataka<\/a> od interesa.<\/span><\/p>\n

Kada do\u0111e do infekcije ure\u0111aja Graphican<\/em> po\u010dinje funkcionisati na sljede\u0107i na\u010din:<\/span><\/p>\n

 <\/p>\n