The Hacker News 網站消息，網絡安全公司卡巴斯基在其 2023 年第三季度 APT 趨勢報告中透露，一個名為 DoNot Team 的黑客組織與使用名為 Firebird 的新型基于 .NET 的后門，針對巴基斯坦和阿富汗發起了網絡攻擊。

據悉，DoNot Team 也被稱為 APT-C-35、Origami Elephant 和 SECTOR02，疑似源自印度，其攻擊方式主要是通過魚叉式網絡釣魚電子郵件和流氓 Android 應用程序，傳播惡意軟件。

經過對 DoNot Team 黑客組織在 4 月份部署的 Agent K11 和 RTY 框架雙重攻擊序列的研究分析，卡巴斯基表示攻擊鏈被配置成了提供一個名為 CSVtyrei 的下載程序，該下載程序因與 Vtyeri 相似而得名（Vtyrei又名 BREEZESUGAR，此前曾被攻擊者用來部署一種名為 RTY 的惡意軟件框架）。

印巴之間頻繁發生網絡攻擊

值得一提的是，Zscaler ThreatLabz 同樣發現總部位于巴基斯坦的 Transparent Tribe（又名 APT36）利用新型惡意軟件庫針對印度政府部門開展惡意活動，其中包括一個名為 ElizaRAT 的 Windows 木馬程序（該木馬第一次出現）。安全研究人員 Sudeep Singh 上個月表示 ElizaRAT 以.NET 二進制文件的形式發布，并通過 Telegram 建立C2 通信渠道，使威脅攻擊者能夠完全控制目標端點。

Transparent Tribe 自 2013 年以來一直活躍在印度，主要利用憑據收集和惡意軟件分發攻擊，經常分發 Kavach 多因素身份驗證等印度政府應用程序的木馬安裝程序，并將 Mythic 等開源命令與控制（C2）框架武器化。

Zscaler 表示其發現了一小部分桌面入口文件，這些文件為執行基于 Python 的 ELF 二進制文件“鋪平”了道路，其中包括用于文件外滲的 GLOBSHELL 和用于從 Mozilla Firefox 瀏覽器中竊取會話數據的PYSHELLFOX，這樣的情況說明網絡攻擊者可能也已經將攻擊目標轉向了 Linux。

Singh 指出印度政府部門正準備大規模使用基于 Linux 的操作系統，因此，網路攻擊者將 Linux 環境作為攻擊目標，很可能也是因為印度決定在政府和國防部門使用基于 Debian Linux 的操作系統 Maya OS 取代微軟 Windows 操作系統。

除了上述提到的 DoNot Team 和 Transparent Tribe，安全研究人員還發現了另外一個代號為 "神秘大象"（又名 APT-K-47）黑客組織，它在魚叉式網絡釣魚活動投放了一個名為 ORPCBackdoor 的新型后門，能夠在受害者的計算機上執行文件和命令，并從惡意服務器接收文件或命令。

從  Knownsec 404 小組的研究結果來看，APT-K-47 與 SideWinder、Patchwork、Confucius 和 Bitter 等其他黑客組織使用的工具以及攻擊目標高度重疊，其中大多數應該都屬于印度“陣營”。

文章來源：https://thehackernews.com/2023/10/donot-teams-new-firebird-backdoor-hits.html