Grupa Daggerfly APT: spojrzenie na sponsorowane przez państwo cyberszpiegostwo

Świat cyberzagrożeń stale się rozwija, a jednym z kluczowych graczy na tej ciemnej arenie jest grupa Daggerfly Advanced Persistent Threat (APT). Znany również pod pseudonimami Bronze Highland i Evasive Panda, Daggerfly zwrócił na siebie uwagę dzięki swoim wyrafinowanym działaniom cyberszpiegowskim. Ten kolektyw hakerski powiązany z Pekinem od dawna atakuje szeroką gamę organizacji, w tym organizacje pozarządowe i różne instytucje na różnych kontynentach, ze szczególnym naciskiem na gromadzenie danych wywiadowczych.

Kim jest grupa Daggerfly APT?

Daggerfly działa co najmniej od 2012 roku i zyskał rozgłos dzięki swojemu trwałemu i adaptacyjnemu podejściu do cyberszpiegostwa. Uważa się, że grupa ta działa pod egidą sponsoringu państwa, zgodnie z interesami i celami narodowymi. Głównym celem operacji Daggerfly było gromadzenie danych wywiadowczych, często ukierunkowanych na sektory i regiony o strategicznym znaczeniu dla Pekinu.

Aktywność i taktyka

Jedno z ujawnień dokonanych przez zespół Threat Hunter firmy Symantec uwydatniło ataki Daggerfly na organizacje na Tajwanie i amerykańską organizację pozarządową z siedzibą w Chinach. Grupa wykorzystała ulepszony zestaw narzędzi złośliwego oprogramowania do infiltracji tych podmiotów, demonstrując ich zdolność do szybkiego dostosowywania i rozwijania swojej taktyki. Godnym uwagi aspektem tej kampanii było wykorzystanie luki w zabezpieczeniach serwera Apache HTTP w celu dostarczenia złośliwego oprogramowania MgBot – modułowej platformy znanej ze swojej elastyczności i możliwości gromadzenia informacji wywiadowczych.

Arsenał: MgBot, MACMA i Nightdoor

Zestaw narzędzi Daggerfly jest zarówno różnorodny, jak i wyrafinowany. U podstaw ich działalności leży szkodliwe oprogramowanie MgBot – modułowa platforma wykorzystywana w różnych kampaniach, w tym skierowanych do dostawców usług telekomunikacyjnych w Afryce. MgBot wyróżnia się możliwością szybkiego dostosowywania i aktualizowania, co pozwala grupie na kontynuowanie działalności szpiegowskiej przy minimalnych zakłóceniach, nawet w przypadku wykrycia.

Innym znaczącym złośliwym oprogramowaniem powiązanym z Daggerfly jest MACMA, które zostało po raz pierwszy zidentyfikowane przez grupę Google Threat Analysis Group w 2021 r. MACMA, początkowo wykorzystywana w atakach na wodopoje wymierzonych w użytkowników w Hongkongu, może zbierać poufne informacje i wykonywać dowolne polecenia. Połączenie pomiędzy MACMA i Daggerfly zostało ustanowione poprzez nakładanie się kodu źródłowego i wspólną infrastrukturę dowodzenia i kontroli.

Oprócz tego Daggerfly wdrożył także Nightdoor (znany również jako NetMM i Suzafk), implant złośliwego oprogramowania, który wykorzystuje interfejs API Dysku Google do komunikacji typu „dowodzenie i kontrola”. Narzędzie to jest wykorzystywane w atakach na wodopoje wymierzonych w użytkowników tybetańskich co najmniej od września 2023 r., co odzwierciedla zróżnicowany krajobraz docelowy grupy i wszechstronne możliwości tworzenia szkodliwego oprogramowania.

Środki ochronne przeciwko sztyletowi

Biorąc pod uwagę zaawansowanie i możliwości adaptacji grupy Daggerfly APT, ochrona przed takimi zagrożeniami wymaga wieloaspektowego podejścia. Oto kilka kluczowych strategii ochrony systemów:

1. Regularne aktualizacje oprogramowania i zarządzanie poprawkami

Upewnij się, że całe oprogramowanie, zwłaszcza aplikacje krytyczne, takie jak serwery internetowe i przeglądarki, jest regularnie aktualizowane do najnowszych wersji. Niezwłoczne zastosowanie poprawek zabezpieczeń może zamknąć luki, które w przeciwnym razie mogłyby zostać wykorzystane przez grupy takie jak Daggerfly.

2. Segmentacja sieci i najniższe uprawnienia

Wdrożyj segmentację sieci, aby ograniczyć rozprzestrzenianie się złośliwego oprogramowania w Twojej organizacji. Przestrzegaj także zasady najmniejszych uprawnień, upewniając się, że użytkownicy i systemy mają jedynie niezbędne prawa dostępu wymagane do ich funkcji.

3. Zaawansowane wykrywanie i reagowanie na zagrożenia

Wdrażaj zaawansowane systemy wykrywania zagrożeń, które wykorzystują uczenie maszynowe i analizę behawioralną do identyfikowania podejrzanych działań i reagowania na nie. Systemy te mogą zapewniać wczesne ostrzeżenia i automatyczne reakcje na potencjalne zagrożenia.

4. Regularne audyty bezpieczeństwa i testy penetracyjne

Przeprowadzaj regularne audyty bezpieczeństwa i testy penetracyjne, aby identyfikować i eliminować luki. To proaktywne podejście pomaga wzmocnić bezpieczeństwo i przygotować się na potencjalne ataki.

5. Edukacja i świadomość użytkowników

Edukuj użytkowników na temat zagrożeń związanych z phishingiem i innymi atakami socjotechnicznymi oraz typowymi wektorami dostarczania złośliwego oprogramowania. Regularne sesje szkoleniowe i programy uświadamiające mogą znacznie zmniejszyć ryzyko udanych ataków.

Końcowe przemyślenia

Grupa Daggerfly APT jest przykładem zaawansowanego i trwałego charakteru współczesnego cyberszpiegostwa. Dzięki informowaniu na temat stosowanych przez siebie taktyk i wdrażaniu solidnych środków bezpieczeństwa organizacje mogą lepiej bronić się przed tak wyrafinowanymi zagrożeniami. Zrozumienie krajobrazu zagrożeń cybernetycznych i ciągłe ulepszanie protokołów bezpieczeństwa mają kluczowe znaczenie w toczącej się walce o ochronę wrażliwych informacji i utrzymanie integralności cyfrowej.