Čínská špionáž Silver Dragon se zaměřuje na Asii a Evropu

Silver Dragon zneužívá veřejně přístupné servery a po proniknutí do sítě nasadí další útočné nástroje. Check Point zaznamenal také phishingové e-maily s nebezpečnými přílohami. „V jedné kampani byly jako návnada použity napodobeniny oficiálních dokumentů zaměřených na vládní subjekty v Uzbekistánu. Po otevření se na pozadí spustily škodlivé komponenty, zatímco si uživatel prohlížel falešný dokument,“ říká Pavel Krejčí, Security Engineer z kyberbezpečnostní společnosti Check Point Software Technologies.

Místo nasazení zjevně škodlivých služeb proniká skupina do legitimních služeb Windows, zastaví je a znovu vytvoří tak, aby načítaly škodlivý kód pod důvěryhodnými názvy. Mezi zneužívané služby patří komponenty spojené s Windows Update, Bluetooth a nástroji .NET Framework. Malware tak splyne s běžnou činností systému. A protože názvy služeb vypadají legitimně, je jeho detekce náročnější, zejména ve velkých prostředích, kde systémové služby generují rutinní šum.

Klíčovou součástí této operace je speciální backdoor nazvaný GearDoor. Ten využívá namísto podezřelé infrastruktury jako kanál pro komunikaci s útočníky Google Drive. „Každý napadený počítač vytvoří vlastní cloudovou složku, pravidelně do ní nahrává ukradené informace a načítá další příkazy maskované jako běžné soubory,“ dodává Pavel Krejčí.

Google Drive je v podnikových prostředích obvykle povolen, takže tento model umožňuje nebezpečné komunikaci splynout s legitimními aktivitami, což snižuje riziko odhalení.

Silver Dragon zároveň používá i další nástroje pro maskování, vzdálené spouštění příkazů, sběr informací a vytváření snímků obrazovky. Operátoři tak mají nepřetržitý přehled o tom, co uživatelé na napadených systémech dělají.

V rámci operace je využíván také nástroj Cobalt Strike, který je primárně určen pro penetrační testování etickými hackery, často ho ovšem zneužívají i kyberzločinci. V kombinaci s předchozími technikami pomáhá skrýt špionážní aktivity.

Silver Dragon je dalším důrazným varováním pro vlády a strategické cíle po celém světě. Při ochraně je nutné klást důraz na prevenci a vícevrstvé zabezpečení, tradiční obranné mechanismy totiž už dávno proti podobně sofistikovaným útokům nestačí. Monitorovat je potřeba koncové body, síťovou aktivitu i cloudové služby a předpokládat, že i legitimní platformy mohou být zneužity k útokům.