Výzkumníci odhalili novou kybernetickou špionážní kampaň nazvanou Operace Dragon Weave, jejímž cílem jsou úředníci a občané v České republice i na Tchaj-wanu. Kampaň slouží k doručení agenta AdaptixC2 a zaměřuje se na sektory státní správy, výzkumu, akademické sféry, technologií a finančních služeb. Útočníci rozesílají spear-phishingové e-maily s přílohami ve formátu ZIP, které spouštějí infekční řetězec využívající loader napsaný v jazyce Rust k nasazení finálního nástroje pro exfiltraci dat a vzdálené ovládání.
Jak infekce probíhá
Archiv ZIP obsahuje soubory, které na první pohled vypadají legitimně, ale ve skutečnosti tvoří strukturovaný infekční řetězec navržený ke spouštění škodlivých částí na pozadí. Útok probíhá dvěma různými cestami. V prvním případě oběť otevře škodlivý soubor zástupce Windows (LNK) maskovaný jako PDF, který spustí skript PowerShell, jenž ze souboru DAT extrahuje spustitelný soubor a spustí jej. Ve druhém případě oběť přímo spustí binární soubor z archivu, který funguje jako dropper napsaný v Rustu.
Bez ohledu na zvolenou cestu spustitelný soubor načte škodlivou knihovnu DLL technikou DLL side-loading, což vede k nasazení loaderu nazvaného RUSTCLOAK. Ten dešifruje a spustí hlavní nástroj – agenta AdaptixC2 označeného jako AZUREVEIL – pojmenovaného podle využití úložiště Microsoft Azure Blob Storage pro příkazovou a řídící komunikaci (C2). Loader je navržen tak, aby prováděl antianalytické kontroly a pokračoval pouze v případě, kdy malware zjistí, že běží v sandboxovém prostředí.
„Malware komunikuje pouze s Azure Blob Storage, službou používanou tisíci legitimních podniků po celém světě,“ upozornila společnost Seqrite Labs. „Namísto tradičního pull-based modelu C2 používá AZUREVEIL přístup dead drop. Útočník a infikovaný systém spolu nikdy nekomunikují přímo. Místo toho obě strany využívají stejný kontejner Azure Storage k výměně dat.“
Další čínsky orientované skupiny v akci
AZUREVEIL podporuje 36 příkazů umožňujících celou řadu akcí na kompromitovaném hostiteli, včetně operací se soubory, jejich nahrávání a stahování, spouštění příkazů v příkazovém řádku, výčtu a ukončování procesů, přesměrování portů, ovládání proxy SOCKS a spouštění kódu v paměti. Tyto schopnosti útočníkovi poskytují úplnou kontrolu nad napadeným zařízením. Ačkoli aktivita nebyla přisouzena konkrétnímu hrozebnímu aktérovi, hodnotí se jako čínsky orientovaná.
Souběžně s tím společnost Cato Networks informovala o detekci a zablokování pokusu o průnik do indické pobočky nejmenované nadnárodní výrobní společnosti za účelem doručení TencShell – dosud nezdokumentovaného implantátu napsaného v jazyce Go a odvozeného od open-source frameworku rshell. Útok je připisován čínsky orientovaným aktérům na základě historického využívání rshell, impersonace API s tématem Tencent a vzorců infrastruktury.
Podle zprávy ESET z minulého týdne jsou čínsky orientovaní hrozební aktéři od října 2025 do března 2026 globálně vysoce aktivní. Patří mezi ně například dosud nezdokumentovaná skupina SteppeDriver, poprvé identifikovaná v roce 2024, která napadala cíle ve Francii, Mongolsku a Jižní Americe. Analytik ESET Jean-Ian Boutin k tomu podotkl: „Zaměření na Jižní Koreu odpovídá trvalému zájmu Pekingu o strategické technologie upřednostňované v rámci čínské průmyslové politiky Made in China 2025.“
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
