به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، محققان سیمانتک می گویند که لنس فلای که به عنوان یک تهدید پایدار پیشرفته (APT) شناخته می‌شود، قبلاً در چندین حمله در سال 2020 که از فریب‌های فیشینگ بر اساس سی و هفتمین اجلاس آسه‌آن (ASEAN) استفاده می‌کردند، دست داشته است.
آخرین کمپین که از اواسط سال 2022 تا سه ماهه اول سال 2023 اجرا شده است، سازمان‌هایی را در جنوب و جنوب شرق آسیا در بخش‌هایی از جمله دولت، هوانوردی، آموزش و مخابرات هدف قرار داده است.
سیمانتک می گوید که درب پشتی مورد استفاده این گروه، به نام مردور (Merdoor)، از سال 2018 وجود داشته است، اما به‌صورت بسیار هدفمند علیه تنها تعداد انگشت شماری از شبکه‌ها و تعداد کمی از ماشین‌ها در طول سال‌ها استفاده شده است.
محققان استفاده از درب پشتی را در دو کمپین مختلف ردیابی کرده و می گویند که هدف هر دو جمع‌آوری اطلاعات است. مردور به هکرها اجازه می دهد تا اقدامات را ردیابی کنند، ضربه های کلید را ثبت کنند و مستقیماً با یک دستگاه آلوده ارتباط برقرار کنند.
این فعالیت اخیر لنس فلای به دلیل استفاده از درپشتی مردور، اما همچنین شیوع کم این درب پشتی و ماهیت به ظاهر بسیار هدفمند این حملات، قابل توجه است. در حالی که به نظر می رسد درب پشتی مردور برای چندین سال وجود داشته است، به نظر می رسد تنها در تعداد کمی از حملات در آن دوره زمانی استفاده شده است. این استفاده محتاطانه از ابزار ممکن است نشان دهنده تمایل لنس فلای برای حفظ فعالیت خود در زیر رادار باشد.
سیمانتک می گوید که به نظر می رسد با توجه به ابزارها و بخش های مورد نظر، جمع آوری اطلاعات انگیزه اصلی باشد.
محققان می گویند:
شباهت‌های بین این فعالیت اخیر و فعالیت قبلی لنس فلای، نشان می‌دهد که این گروه احتمالاً متوجه نشده بوده که فعالیت قبلی کشف شده است، بنابراین نگران ارتباط بین این دو نبوده است. اینکه آیا افشای این فعالیت منجر به تغییری در نحوه انجام فعالیت‌های گروه می‌شود یا خیر، چیزی است که باید منتظر ماند و دید.
سیمانتک از ذکر نام کشور پشت لنس فلای یا کشورهایی که هدف قرار گرفته‌اند خودداری کرده، اما چندین ابزار دیگر مورد استفاده این گروه، از جمله بدافزارهایی مانند پلاگ اکس (PlugX) و شدوپد (ShadowPad)، از ویژگی‌های بارز هکرهای دولت چین هستند.
محققان می گویند که از نسبت دادن این کمپین به عوامل چینی راحت نیستند و خاطرنشان می کنند که هیچ یک از همپوشانی‌ها در تاکتیک‌ها و ابزارها، به اندازه کافی قوی نیستند که این فعالیت و توسعه درپشتی مردور را به یک گروه مهاجم از قبل شناخته شده نسبت دهند.
در حالی که کمپین‌های 2020 و 2021 از فریب‌های فیشینگ مبتنی بر اجلاس آسه‌آن استفاده کرده اند، محققان سیمانتک می گویند که این گروه اکنون از انواع ناقل‌های عفونت اولیه استفاده می‌کند که نشان می‌دهد آنها سازگار هستند.
علاوه بر بدافزار، این گروه همچنین از روش‌های دیگری از جمله ابزارهای قانونی آواست (Avast) و وین رر (WinRAR) برای کمک به جمع‌آوری داده‌ها و استخراج آنها استفاده می کند.
محققان خاطرنشان می کنند که یکی از ابزارها با گواهی شرکت سرگرمی وی مید (Wemade Entertainment Co. Ltd) امضا شده است، که قبلا گزارش شده بود با تهدید پایدار پیشرفته 41 (APT41)، یکی از پرکارترین گروه های هک چین مرتبط است.
