Cercetătorii ESET dezvăluie cea mai recentă versiune a Gelsemium: o campanie de spionaj cibernetic derulată împotriva guvernelor și a altor ținte din Asia

2021-06-09

9 iunie, 2021 – Începând cu jumătatea anului 2020, departamentul de cercetare ESET a analizat mai multe campanii malware, atribuite ulterior grupului de spionaj cibernetic Gelsemium și urmărit istoric  evoluția lor, începând de la cea mai veche versiune a principalului lor cod malware, Gelsevirine (lansat încă din 2014). În timpul investigației, cercetătorii ESET au găsit o nouă versiune a Gelsevirine, un backdoor complex și foarte modular. Victimele campaniilor de atac, asociate acestuia, se află în Asia de Est, precum și în Orientul Mijlociu și includ guverne, organizații religioase, producători de electronice și universități. Până în prezent, grupul a reușit să se mențină în cea mai mare parte sub radarul de supraveghere. Această cercetare a fost discutată exclusiv la conferința anuală ESET World din această săptămână.

Gelsemium este foarte atent direcționat - cu doar câteva victime precise, conform telemetriei ESET - și având în vedere capacitățile sale, acest lucru indică implicarea grupului în spionaj cibernetic. Grupul are un număr mare de componente adaptabile. „Întregul lanț al Gelsemium ar putea părea simplu la prima vedere, dar numărul exhaustiv de configurații, implantate în fiecare etapă, poate modifica configurația de atac din mers (pentru payload-ul final), îngreunând înțelegerea”, explică cercetătorul ESET Thomas Dupuy, co-autor al analizei de cercetare Gelsemium.

Gelsemium folosește trei componente și un sistem plug-in pentru a oferi operatorilor săi o gamă largă de posibilități de colectare a informațiilor: dropper-ul Gelsemine, loader-ul Gelsenicine și plugin-ul principal Gelsevirine.

Cercetătorii ESET cred că Gelsemium se află în spatele atacului supply-chain derulat împotriva BigNox, care a fost raportat anterior ca Operațiunea NightScout. Acesta a fost un atac pe “lanțul de aprovizionare” al victimei, raportat de ESET, care a compromis mecanismul de actualizare al NoxPlayer, un emulator Android pentru PC-uri și Mac și o parte a gamei de produse BigNox, cu peste 150 de milioane de utilizatori în întreaga lume. Ancheta a descoperit unele suprapuneri între acest atac supply-chain și grupul Gelsemium. Victimele compromise inițial de acel atac supply-chain au fost ulterior compromise de Gelsemine. Dintre diferitele variante examinate, „varianta 2” din acest articol prezintă asemănări cu malware-ul Gelsemium.

Pentru mai multe detalii tehnice despre Gelsemium, puteți parcurge postarea de blog “Gelsemium: when threat actors go gardening” de pe WeLiveSecurity. Asigurați-vă că urmăriți cele mai recente știri ale cercetătorilor ESET pe Twitter.