Credenziali rubate e tunnel persistente: APT28 torna nel cantiere navale
Symantec ha documentato intrusioni di APT28 contro tre obiettivi in due Paesi NATO, tra cui un costruttore navale. Su un host compromesso, gli operatori sono tornati più volte nell’arco di una settimana, rubando credenziali e aprendo un tunnel SSH persistente verso la rete interna.
Il gruppo ha usato HOOKEDGE e un nuovo loader che decifra il payload solo in memoria, con una chiave fornita durante l’esecuzione: il programma non viene prima salvato su disco in forma leggibile. APT28 ha inoltre usato documenti Word con macro per distribuire la backdoor, un approccio da considerare nelle difese anti-phishing basate su quel formato.
Il tunnel e le credenziali sottratte possono lasciare una via d’accesso anche dopo la rimozione del loader: l’incidente può estendersi oltre l’host inizialmente compromesso.