بورو تحقیقات فدرال آمریکا (FBI) و وزارت دادگستری (DoJ) از مختل‌سازی ابزارهای مخربی خبر دادند که توسط یک عامل تهدید (Threat Actor) پیشرفته و مستمر (APT) مرتبط با چین به نام Flax Typhoon استفاده می‌شد.
هدف قرار دادن زیرساخت‌های حیاتی
در این عملیات، چندین دامنه توقیف و دسترسی به پلتفرم‌هایی که برای اسکن و نفوذ به زیرساخت‌های حیاتی ایالات متحده استفاده می‌شدند، مسدود شد. گروه Flax Typhoon که با نام‌های Ethereal Panda و RedJuliett نیز شناخته می‌شود، با شرکت Integrity Technology Group در پکن (که پیمانکار دولت چین است) در ارتباط است.
بات‌نت Raptor Train و بدافزار Mirai
این گروه پیش از این با بات‌نت (Botnet) گسترده‌ای به نام Raptor Train شناخته می‌شد که شامل هزاران دستگاه IoT و تجهیزات SOHO (دفتر کوچک/خانه) آلوده بود. اسناد دادگاه حاکی از آن است که شرکت Integrity Tech یک بات‌نت IoT مبتنی بر گونه‌ای از بدافزار Mirai ایجاد کرده بود. این بات‌نت از دامنه‌های متعددی برای فرماندهی و کنترل (C2) استفاده می‌کرد و توسط اپلیکیشنی به نام Sparrow مدیریت می‌شد.
گزارش‌ها نشان می‌دهد که تا ژوئن ۲۰۲۴، بیش از ۱.۲ میلیون دستگاه آلوده در دیتابیس این گروه ثبت شده بود که تنها ۳۸۵ هزار مورد از آن‌ها متعلق به قربانیان آمریکایی بود.
ابزارهای شناسایی و نفوذ: Microscan و FishHub
عامل تهدید برای شناسایی اهداف و اسکن آسیب‌پذیری‌ها (Vulnerability Scanning) از ابزاری به نام Microscan استفاده می‌کرد. این ابزار مبتنی بر Python دارای بیش از ۱۳۰۰ اسکریپت تست نفوذ (Penetration Testing) برای شناسایی نقاط ضعف در سرویس‌هایی نظیر OpenSSL، Oracle WebLogic، WordPress و Apache Struts است. همچنین از ابزارهای متن‌بازی مانند NMAP و Masscan برای تکمیل عملیات شناسایی استفاده می‌شد.
علاوه بر این، ابزار دیگری به نام FishHub برای اجرای حملات فیشینگ هدفمند (Spear-phishing) و استقرار Payloads تکمیلی به کار گرفته می‌شد. قربانیان این ابزار شامل ۲۰ دانشگاه در تایوان بوده‌اند.
تکنیک‌ها و روش‌های تداوم (TTPs)
تحلیل‌های فنی نشان می‌دهد که این مهاجمان از روش‌های زیر برای نفوذ و تداوم در شبکه استفاده می‌کنند:
- استفاده از ابزارهای خط فرمان (CLI) مبتنی بر Python و Go برای نفوذ به خدمات ابری (Cloud-based services).
- به‌کارگیری حملات Cross-Site Scripting (XSS) برای سرقت اطلاعات شناسایی کاربران (Credential Harvesting).
- نصب کلاینت‌های VPN SoftEther بر روی دستگاه‌های قربانی جهت ایجاد تداوم (Persistence) در شبکه.
- استفاده از ابزار EBurst برای حملات Brute-force علیه حساب‌های Microsoft 365 و بهره‌برداری از ابزار office-cli برای دسترسی غیرمجاز به ایمیل‌ها.
این فعالیت‌های مخرب بخش‌های حساس مختلفی از جمله شرکت‌های برق در کارولینای جنوبی، فرودگاه‌های ژاپن و لهستان و زیرساخت‌های گاز طبیعی و برق در تایوان را هدف قرار داده است.
