[ad_1] Un grup cibernetic asociat Chinei, cunoscut sub denumirea de Phantom Taurus, a desfășurat în ultimii doi ani o serie de atacuri de spionaj asupra instituțiilor guvernamentale și companiilor de telecomunicații din Africa, Orientul Mijlociu și Asia

Un grup cibernetic asociat Chinei, cunoscut sub denumirea de Phantom Taurus, a desfășurat în ultimii doi ani o serie de atacuri de spionaj asupra instituțiilor guvernamentale și companiilor de telecomunicații din Africa, Orientul Mijlociu și Asia. Activitatea acestui actor statal evidențiază evoluția tacticilor de cyberespionaj și sofisticarea instrumentelor folosite pentru a accesa informații sensibile în mod discret.

Atacurile de spionaj cu malware „de ultimă generație” au fost documentate de experții de la Unit 42, divizia de cercetare Palo Alto Networks. Conform acestora, Phantom Taurus prioritizează infiltrarea în ministere de externe, ambasade, organizații implicate în evenimente geopolitice și structuri militare. Analistul Lior Rochberger susține că scopul principal al grupului este colectarea de informații confidențiale, evitând detectarea prin operațiuni discrete și adaptare rapidă a tacticilor.

Primele semnalări au apărut în 2023, când grupul era cunoscut sub denumirea provizorie CL-STA-0043. Ulterior, a fost reclasificat drept TGR-STA-0043, odată cu identificarea campaniei „Operation Diplomatic Specter”, desfășurată cel puțin din 2022. Informațiile recente confirmă că Phantom Taurus acționează independent și urmărește sprijinirea intereselor strategice ale Chinei prin acces prelungit la datele confidențiale.

Caracteristica definitorie a campaniei o reprezintă utilizarea unui set de instrumente personalizate și greu de detectat. Unul dintre cele mai importante descoperiri este malware-ul NET-STAR, creat în .NET, capabil să compromită servere Microsoft Internet Information Services (IIS). Aceste instrumente sunt concepute pentru a evita sistemele de securitate și a opera în mod stealth.

Exploatarea vulnerabilităților cibernetice este o altă componentă a strategiilor Phantom Taurus, reușind să folosească tichetele ProxyLogon și ProxyShell. Aceste vulnerabilități permit compromiterea serverelor IIS și Microsoft Exchange, urmată de acces la baze de date și extragerea de informații.

Instrumentele malware, precum NET-STAR, integrează backdoor-uri avansate. Printre acestea se află IIServerCore, o componentă fileless, și versiunile AssemblyExecuter V1 și V2, care încărcă payload-uri suplimentare, ocolind mecanisme precum AMSI și ETW. Aceste module permit, de asemenea, modificarea datelor fișierelor pentru a îngreuna analiza criminalistică digitală.

Monitorizarea activităților precum cele ale Phantom Taurus evidențiază necesitatea unei informări continue în domeniul securității cibernetice. Evoluția tacticilor și tehnologiilor implicate subliniază importanța alertării constante pentru a contracara astfel de amenințări. O înțelegere aprofundată a riscurilor și a modului de răspuns devine esențială pentru menținerea securității digitale a instituțiilor și companiilor.