ESET scopre CeranaKeeper, gruppo APT affiliato al governo cinese

I ricercatori di ESET hanno scoperto le attività di CeranaKeeper, un gruppo APT allineato alla Cina che ha preso di mira istituzioni governative in diversi Paesi asiatici, esfiltrando grandi quantità di dati.

Il nome del gruppo, ideato dai ricercatori, è un gioco di parole tra il termine “beekeeper”, ispirato dalle numerose occorrenze della stringa “bectrl” nel codice dei tool del gruppo, e la specie di ape Apis Cerana, l’ape asiatica del miele.

Credits: ESET

CeranaKeeper utilizza molti strumenti e tecniche in rapida e continua evoluzione: gli attaccanti riscrivono il set di strumenti in base alle necessità, per cercare di eludere il rilevamento. L’obiettivo del gruppo APT è raccogliere il numero maggior di file possibile per accedere a conoscenze militari e governative.

Il gruppo usa servizi cloud e di condivisione file per l’esfiltrazione dei dati, cercando di camuffare il traffico con quello legittimo e difficile da bloccare di questi servizi.

CeranaKeeper è attivo almeno dal 2022 e ha come obiettivo principale gli enti governativi in Thailandia, Myanmar, Filippine, Giappone e Taiwan. Nel dettaglio, negli attacchi contro le istituzioni thailandesi il gruppo ha usato componenti rivisitate attribuite da altri ricercatori a MustangPanda, un altro gruppo APT allineato alla Cina, oltre a un nuovo set di strumenti in grado di violare service provider quali Pastebin, Dropbox, OneDrive e GitHub.

I ricercatori ritengono che i due gruppi siano entità separate, anche se è possibile che condividano informazioni e una parte degli strumenti. “Nonostante alcune somiglianze nelle loro attività, come obiettivi comuni e formati di archivi simili, ESET ha osservato differenze organizzative e tecniche tra i due gruppi, ad esempio nei set di strumenti, infrastrutture, procedure e campagne. Abbiamo anche notato differenze nel modo in cui i due gruppi svolgono compiti simili” ha affermato Romain Dumont, ricercatore di ESET che ha scoperto CeranaKeeper.

Il gruppo usa un set di strumenti pubblici chiamato “bespoke stagers” che sfrutta una tecnica di side loading e una specifica sequenza di comandi per esfiltrare file dalla rete. L’uso di componenti PlugX rimanda ancora una volta all’attività di MustangPanda, ma ci sono differenza organizzative e tecniche che confermano l’idea che si tratti di entità differenti.

Dopo l’accesso alla rete, il gruppo installa la backdoor TONESHELL, esegue uno strumento per il dump delle credenziali e usa un driver Avast e un’applicazione personalizzata per disabilitare gli antivirus presenti sulle macchine. Per spostarsi lateralmente, il gruppo distribuisce uno script BAT e sfrutta il controller di dominio per ottenere i privilegi di amministratore. Ciò permette a CeranaKeeper di esfiltrare enormi quantità di dati.

“Il gruppo dietro gli attacchi al governo tailandese, CeranaKeeper, sembra particolarmente implacabile, dato che la pletora di strumenti e tecniche che il gruppo utilizza continua a evolversi a un ritmo rapido” spiega il team di ESET. Il gruppo sta continuando con le sue attività ed è probabile che colpirà nuovi obiettivi evolvendo le tecniche e i tool a disposizione.