Sharp Panda 使用新的 Soul Framework 版本瞄准东南亚政府
自去年年底以来,东南亚备受瞩目的政府实体成为中国威胁行为者 Sharp Panda 开展的网络间谍活动的目标。
这些入侵的特点是使用了新版本的 Soul 模块化框架,标志着该组织与 2021 年观察到的攻击链有所不同。
以色列网络安全公司 Check Point 表示,“长期”活动历来只针对越南、泰国和印度尼西亚等国家。 该公司于 2021 年 6 月首次记录了 Sharp Panda,并将其描述为“高度组织化的行动,为保持低调付出了巨大努力”。
有趣的是,博通旗下的赛门铁克公司在 2021 年 10 月详细介绍了 Soul 后门的使用情况,涉及针对东南亚国防、医疗保健和 ICT 行业的不明间谍活动。
根据 Fortinet FortiGuard Labs 于 2022 年 2 月发布的研究,该植入物的起源可追溯到 2017 年 10 月,该恶意软件重新利用了来自 Gh0st RAT 和其他公开可用工具的代码。
Check Point 详述的攻击链始于一封包含诱饵文件的鱼叉式网络钓鱼电子邮件,该文件利用 Royal Road Rich Text Format (RTF) 武器化器通过利用 Microsoft 公式编辑器中的多个漏洞之一来删除下载程序。
![](https://picx.zhimg.com/80/v2-2a4f9277d6d36b847c34420d36425fdf_720w.png)
反过来,下载程序旨在从地理围栏命令和控制 (C&C) 服务器检索称为 SoulSearcher 的加载程序,该服务器仅响应来自与目标国家/地区对应的 IP 地址的请求。
加载程序随后负责下载、解密和执行 Soul 后门及其其他组件,从而使对手能够获取范围广泛的信息。
“Soul 主模块负责与 C&C 服务器通信,其主要目的是接收和加载内存附加模块,”Check Point 说。
“有趣的是,后门配置包含一个类似‘无线电静音’的功能,攻击者可以在一周内指定后门不允许与 C&C 服务器通信的特定时间。”
这些发现再次表明,中国高级持续威胁 (APT) 组织普遍使用工具共享来促进情报收集。
“虽然 Soul 框架至少从 2017 年就开始使用,但其背后的威胁者一直在不断更新和完善其架构和功能,”该公司表示。
它进一步指出,该活动可能“由中国支持的先进威胁行为者发起,他们在更广泛的间谍活动网络中的其他工具、能力和地位尚待探索。”
声明:本文相关资讯来自thehackernews,版权归作者所有,转载目的在于传递更多信息。如有侵权,请联系本站处理。