Специалисты ИБ-компании Sentinel Labs выявили новую китайскую киберпреступную группировку, которую они назвали Moshen Dragon. Группировка специализируется на атаках на телекоммуникационные сервисы в странах Центральной Азии.
Moshen Dragon использует такие вредоносные инструменты из арсенала киберпреступных группировок RedFoxtrot и Nomad Panda, как ShadowPad и PlugX, однако исследователи выявили достаточно доказательств того, что она является отдельной группировкой. По их словам, Moshen Dragon состоит из высококлассных хакеров, способных подстраивать свои техники в зависимости от используемых жертвами технологий безопасности.
Главной целью группировки является внедрение вредоносных DLL для Windows в антивирусные решения, похищение учетных данных для бокового перемещения по атакуемым сетям и кража информации с инфицированных машин. Хотя в настоящее время вектор заражения неизвестен, согласно отчету Sentinel Labs, оно начинается со взлома антивирусного решения, в частности от таких производителей, как TrendMicro, Bitdefender, McAfee, Symantec и «Лаборатория Касперского».
Поскольку на Windows-машинах вышеперечисленные антивирусы работают с высокими привилегиями, загрузка вредоносных DLL-библиотек в их процессы позволяет хакерам запускать код с минимальными ограничениями и потенциально обходить обнаружение.
Примечательно, что проанализированный исследователями Sentinel Labs загрузчик был также обнаружен специалистами ИБ-компании Avast в декабре 2021 года в компьютерных сетях правительственных учреждений в США. Это может свидетельствовать о том, что Moshen Dragon атакует разные цели, сменила фокус, или что одним и тем же загрузчиком пользуются разные китайские APT-группы.
