Usuários chineses do Windows especialmente bloqueados! A organização APT Hacker usando ataques de sideload de DLL dupla

Até agora, a tecnologia tradicional da biblioteca DLL de carregamento lateral (DLL Sideloading) tem sido um dos métodos usados pelos hackers para lançar ataques eficazes, e também é um problema espinhoso que a Microsoft e muitos desenvolvedores não conseguiram resolver por mais de dez anos. Hoje, o grupo de hackers de ameaça persistente avançada APT chamado “Dragon Breath” (também conhecido como APT-Q-27 e Golden Eye Dog) tem como alvo usuários chineses do Windows na China, Taiwan, Hong Kong, Japão, Cingapura e Filipinas. novíssimo ataque de , ele até adotou diferentes variantes da biblioteca de programas maliciosos de sideload de DLL dupla (Double DLL Sideloading), que alcançou com sucesso uma cadeia de infecção mais oculta, tornando mais difícil para o mecanismo de proteção de segurança rastrear.

Continua após a publicidade

O novo método de biblioteca maliciosa de carregamento lateral duplo usado por “Dragon Breath” será dividido em dois estágios para carregamento lateral malicioso. De acordo com um relatório da Sophos, o grupo de hackers APT usa especificamente aplicativos trojanizados, como Telegram, WhatsApp ou LetsVPN, para iniciar o download da carga útil maliciosa de segundo estágio, que, por sua vez, carregará novamente a biblioteca DLL maliciosa carregada de malware para o navegador.

Depois que o usuário executar o programa de instalação do aplicativo, isso levará à implantação de componentes maliciosos e à implantação de atalhos na área de trabalho. Se o usuário clicar no atalho novamente, um determinado comando será executado automaticamente. O comando executará “appR .exe” e, em seguida, execute “appR.Dll” antes de carregar o aplicativo de segundo estágio.

O mais assustador é que o grupo de hackers Dragon Breath adotou três técnicas diferentes de sideload de biblioteca dupla de malware para evitar a detecção de segurança, todas as quais levarão à descriptografia da DLL de carga final que suporta um grande número de comandos, e os hackers podem roubar MetaMask no Google Chrome Digital Assets na extensão Cryptocurrency Wallet.