ESET: il gruppo cinese Evasive Panda diffonde malware tramite aggiornamenti di applicazioni legittime

I ricercatori di ESET hanno scoperto una campagna condotta dal gruppo APT Evasive Panda, in cui i canali di aggiornamento delle applicazioni legittime cinesi sono stati alterati per distribuire anche il programma di installazione del malware MgBot, backdoor di cyberspionaggio di punta di Evasive Panda. Al centro dell’operazione, che secondo la telemetria di ESET è iniziata nel 2020, i membri cinesi di un'organizzazione non governativa (ONG) internazionale. Gli utenti presi di mira si trovavano nelle province di Gansu, Guangdong e Jiangsu. Nel gennaio 2022, ESET Research ha scoperto che in fase di aggiornamento, un'applicazione legittima cinese era stata compromessa con un installer della backdoor di Evasive Panda, denominata MgBot, come già accaduto nel 2020 con diverse altre applicazioni legittime sviluppate da aziende cinesi. I ricercatori di ESET hanno ipotizzato che per la distribuzione del malware gli installer siano stati distribuiti o attraverso la compromissione della supply-chain o tramite attacchi adversary-in-the-middle (AitM). L'architettura modulare di MgBot gli consente di estendere le proprie funzionalità ricevendo e distribuendo moduli sulla macchina compromessa. Le funzionalità della backdoor includono la registrazione dei tasti premuti, il furto di file, credenziali e contenuti dalle app di messaggistica QQ e WeChat di Tencent e la cattura di stream audio e di testo copiato negli appunti. Evasive Panda (noto anche come BRONZE HIGHLAND e Daggerfly) è un gruppo APT di lingua cinese, attivo almeno dal 2012. ESET Research ha osservato il gruppo condurre azioni di cyberspionaggio contro individui in Cina continentale, Hong Kong, Macao e Nigeria. È stato verificato che una vittima di questa campagna si trovava in Nigeria ed è stata compromessa attraverso il software cinese Mail Master di NetEase.