APT Earth Hundun, gruppo di cyber spionaggio attivo dal 2009, ha sviluppato nuove tattiche di attacco. Scopriamo le ultime versioni dei malware Waterbear e Deuterbear.
APT Earth Hundun è un gruppo di cyber spionaggio che opera principalmente nell’area Asia-Pacifico. I suoi obiettivi includono governi, organizzazioni militari, istituzioni accademiche e aziende di telecomunicazioni. Il nome Earth Hundun, che deriva da un termine cinese che significa caos o disordine, riflette la capacità del gruppo di nascondere le sue attività e di eludere le difese. Attivo dal 2009, il gruppo utilizza una varietà di strumenti e tecniche per infiltrarsi nelle reti delle vittime e rubare informazioni sensibili.
Recentemente, sono stati rilevati attacchi informatici che hanno preso di mira diverse organizzazioni in vari settori, come la tecnologia, la ricerca e il governo. Questi attacchi coinvolgono una famiglia di malware nota come Waterbear, che è collegata al gruppo di cyber spionaggio Earth Hundun. Tra gli strumenti utilizzati dal gruppo, il backdoor Waterbear è uno dei più complessi, con una vasta gamma di tecniche anti-debug, anti-sandbox e di ostacolo agli antivirus. Inoltre, i frequenti aggiornamenti da parte dei suoi sviluppatori hanno portato a ancora più tattiche di evasione, tra cui il miglioramento del suo loader, downloader e protocollo di comunicazione.
Waterbear e Deuterbear sono due malware usati da APT Earth Hundun per mantenere l’accesso persistente alle reti infettate e per eseguire comandi remoti. Entrambi i malware sono modulari e supportano il caricamento di plugin per aumentare le loro funzionalità. Waterbear è stato scoperto per la prima volta nel 2009 e da allora ha subito diverse modifiche e aggiornamenti. Deuterbear è una versione più recente e avanzata di Waterbear, che è stata rilevata per la prima volta nell’ottobre 2022.
Secondo un rapporto di Trend Micro, Deuterbear presenta alcune differenze significative rispetto a Waterbear, che riflettono l’evoluzione delle tattiche di APT Earth Hundun. Deuterbear usa un formato shellcode per i suoi plugin, che gli permette di caricare codice eseguibile in memoria senza scrivere file sul disco. Questo rende più difficile l’analisi e il rilevamento del malware. Deuterbear abbandona gli handshake durante l’operazione RAT, che significa che non invia più pacchetti di conferma al server di comando e controllo (C2) dopo aver ricevuto un comando. Questo riduce il traffico di rete e la possibilità di essere intercettato. Deuterbear usa HTTPS per la comunicazione C2, che gli consente di mimetizzarsi nel traffico web normale e di bypassare i firewall e i proxy. Inoltre, Deuterbear usa domini legittimi come Microsoft per nascondere i suoi indirizzi C2.
L’evoluzione di Waterbear e Deuterbear indica progressi significativi da parte di APT Earth Hundun nello sviluppo del suo arsenale di strumenti, soprattutto in termini di anti-analisi e evasione del rilevamento. Questo suggerisce che le organizzazioni devono rimanere vigili e aggiornate sulle ultime minacce per proteggere adeguatamente le loro risorse digitali.
Dal 2009, Earth Hundun ha continuato a evolvere e perfezionare il backdoor Waterbear, così come le sue molte varianti e ramificazioni. Nonostante le soluzioni disponibili, i miglioramenti nei metodi di infezione e nei meccanismi anti-analisi hanno portato alla variante più avanzata finora: Deuterbear. Il downloader di Deuterbear impiega la crittografia HTTPS per la protezione del traffico di rete e implementa vari aggiornamenti nell’esecuzione del malware, come alterare la decrittazione della funzione, controllare la presenza di debugger o sandbox e modificare i protocolli di traffico.
Secondo la nostra telemetria, Earth Hundun ha continuato a infiltrarsi nella regione Asia-Pacifico, e l’evoluzione continua di Waterbear e Deuterbear presenta sfide formidabili agli sforzi di difesa organizzativa. Pertanto, Trend Micro rimane impegnata a migliorare ulteriormente i nostri metodi di monitoraggio e rilevamento di conseguenza.