File Linux usati per furto di dati e spionaggio: la campagna di APT36

Il gruppo pakistano APT36, noto anche come Transparent Tribe, ha usato file Linux .desktop per distribuire malware nei sistemi BOSS in una campagna di spionaggio ai danni di realtà governative e del settore della difesa in India.

Secondo il report di Cyfirma, APT36 ha sfruttato numerose email di spear-phishing per distribuire un file .zip, il quale a sua volta contiene un file .desktop di Linux. All’apparenza il file si presenta come una shortcut per PDF, ma contiene una serie di comandi che vengono eseguiti non appena viene aperto, tra i quali anche quelli per scaricare il payload malevolo e installare il malware.

Contemporaneamente, per sviare i sospetti, viene eseguito Firefox in background e viene aperto un link Google Drive che contiene un PDF innocuo, così da convincere l’utente che ha effettivamente aperto un documento.

Dopo aver stabilito un canale di comunicazione con il server degli attaccanti, il malware comincia a raccogliere informazioni sensibili dal dispositivo della vittima per inviarle al server C2.

Secondo Cyfirma, la campagna sarebbe cominciata il 1° agosto scorso ed è ancora in esecuzione. APT36 è attivo da oltre 10 annie a partire dal 2016 ha affinato le proprie tattiche per eseguire campagne sempre più sofisticate.

Il gruppo, affiliato al governo pakistano, ha sempre preso di mira realtà indiane, in particolare nei settori governativo e militare e anche le istituzioni diplomatiche. In alcuni casi le attività della gang si sono estese anche ai settori dell’istruzione, della difesa e delle infrastrutture critiche.

Negli ultimi anni il gruppo ha preso di mira vittime anche in altri Paesi, in maniera per lo più opportunistica, mettendo a rischio partner e fornitori delle realtà colpite.

“L‘adozione di payload .desktop mirati a Linux BOSS riflette un cambiamento tattico verso lo sfruttamento delle tecnologie native. In combinazione con il malware tradizionale basato su Windows e i dispositivi mobile, ciò dimostra l’intenzione del gruppo di diversificare i vettori di accesso e garantire la persistenza anche in ambienti protetti” hanno affermato i ricercatori di Cyfirma.