Studie van Chinese hackers bungelt als phishing-aas

Het rapport was dinsdag vrijgegeven door beveiligingsbedrijf Mandiant en documenteert tot in detail de cyberspionagecampagnes die sinds 2006 zijn gevoerd door een hackergroep die bekend staat als de Comment Crew bij meer dan 100 bedrijven en organisaties uit verschillende sectoren.

Mandiant verwijst naar de groep als APT1 (Advanced Persistent Bedreiging 1) en beweert in het rapport dat het waarschijnlijk een geheime, in Shanghai gevestigde cyberespionage-eenheid van het Chinese leger is - het People's Liberation Army (PLA) - met de codenaam 'Eenheid 61398'.

[Verder lezen: hoe u malware van uw Windows-pc verwijdert]

De Chinese overheid heeft de beweringen van Mandiant ongegrond verklaard. Het rapport kreeg echter veel aandacht van mensen in de IT-beveiligingsindustrie, maar ook van het grote publiek.

Het lijkt erop dat deze publiciteit nu heeft geleid tot aanvallers die besloten het rapport te gebruiken als lokaas bij nieuwe gerichte aanvallen.

Malware maskeert als Mandiant-rapport

Twee verschillende speer-phishing-aanvallen werden vorige week ontdekt met behulp van e-mails met schadelijke bijlagen die zich voordeden als het Mandiant-rapport, zei Aviv Raff, de chief technology officer van beveiligingsbedrijf Seculert.

One aanval gericht op Japanssprekende gebruikers en betrokken e-mails met een bijlage genaamd Mandiant.pdf. Dit PDF-bestand maakt gebruik van een kwetsbaarheid in Adobe Reader die door Adobe is gepatcht in een noodupdate, meldden beveiligingsonderzoekers van Seculert in een blogpost.

De malware die door de exploit is geïnstalleerd, maakt verbinding met een command-and-control-server die wordt gehost in Korea, maar ook contact met een aantal Japanse websites, waarschijnlijk in een poging om beveiligingsproducten te misleiden, zeiden de Seculert-onderzoekers.

Symantec heeft ook de speer-phishingaanval gedetecteerd en geanalyseerd. "De e-mail lijkt afkomstig te zijn van iemand in de media die het rapport aanbeveelt," zei Symantec-onderzoeker Joji Hamada in een blogpost. Het zou echter voor een Japans persoon duidelijk zijn dat de e-mail niet door een Japanse native speaker was geschreven, zei Hamada. Hamada wees erop dat soortgelijke tactieken in het verleden zijn gebruikt. Bij één incident in 2011 gebruikten hackers een onderzoeksartikel over gerichte aanvallen die door Symantec werden gepubliceerd als aas. "Ze deden dit door doelen te spammen met de feitelijke whitepaper en malware verborgen in een archiefbijlage", zegt Hamada.

Misbruik van oude Adobe-fout

De tweede spear-phishing-aanval detecteert Chinees sprekende gebruikers en gebruikt een kwaadwillende bijlage genaamd "Mandiant_APT2_Report.pdf."

Volgens een analyse van het PDF-bestand door onderzoeker Brandon Dixon van beveiligingsadviesbureau 9b +, maakt het document gebruik van een ouder Adobe Reader-beveiligingslek dat in 2011 is ontdekt en hersteld.

De malware op het systeem is geïnstalleerd, wordt een verbinding tot stand gebracht met een domein dat momenteel naar een server in China verwijst, zei Dixon via e-mail. "De malware biedt aanvallers de mogelijkheid om opdrachten uit te voeren op het systeem van het slachtoffer."

De domeinnaam waarmee contact werd gemaakt door deze malware, werd ook in het verleden gebruikt in aanvallen op Tibetaanse activisten, aldus Raff van Seculert. Die oudere aanvallen installeerden zowel Windows- als Mac OS X-malware, zei hij.

Greg Walton, een onderzoeker van MalwareLab, een beveiligingsoutfit die politiek gemotiveerde malwareaanvallen volgt, zei op Twitter dat de speer-phishingaanval met het Mandiant-thema journalisten als doelwit had in China. Deze informatie kon niet worden bevestigd door Raff of Dixon, die zeiden dat ze geen kopieën van de originele spam-e-mails hadden, alleen van de kwaadaardige bijlage die ze bevatten.