یک گروه حرفهای تهدیدات سایبری است که براساس شواهد بدست آمده توسط شرکتهای امنیتی، به زبان چینی صحبت میکنند. به همین دلیل خواستگاه این «کمپین» را هکرهای چینی میدانند.
هدف این کمپین، سرقت اطلاعات از سفارتخانهها و زیرساختهای حیاتی مانند مراکز نظامی، مراکز دولتی و همچنین مراکز تحقیقاتی و علمی است که معمولا طی مراحل زیر انجام میشود:
براساس شواهد مشاهده شده، این کمپین به دیتاسنترهای ملی و بزرگ کشورهای مختلف نفوذ کرده و دسترسیهای لازم را ایجاد میکند. پس از نفوذ به دیتاسنترهای ملی، وبسایتهای مهم و پربازدید آلوده شده تا سیستم کاربران با مشاهدهی اینسایتها آلوده شود.
برای حفظ دسترسی بلندمدت و همچنین افزایش سطح اختیارات، این کمپین ایمپلنت اختصاصی مربوط به خود را در سیستمهای آلوده نصب میکند. همواره ایمپلنتهای این گروه از درایور سطح کرنل استفاده میکند.
این کمپین برای اتصال به ماشینهای آلوده از دو روش اتصال ماشین به سرور C&C و یا اتصال مهاجم به ماشین آلوده ازطریف پورتهای ۸۰ و ۴۴۳ استفاده میکند.
شناسایی رفتار مشکوک در سامانه XDR گراف (سامانه شناسایی تهدیدات پیشرفته) - ۲/اسفند/۹۹
آغاز فرآیند شکار تهدید توسط تیم MDR گراف - ۲/اسفند/۹۹
انجام فارنسیکس و نمونه برداری - ۳/اسفند/۹۹
اﻋﻠﺎم IOCﻫﺎی ﻣﺮﺑﻮﻃﻪ به زیرساخت مورد حمله ﺑﺮای ﭼﮏ ﮐﺮدن سایر سیستمها - ۱۰/اسفند/۹۹
تایید آلودگی و پاکسازی زیرساختهای مورد حمله 10 تا ۱۷/اسفند/۹۹
ارائه نسخه اول گزارش تحلیلی به مرکز افتای ریاستجمهوری، پدافند غیرعامل و مرکز ماهر - ۱۸/اسفند/۹۹