A kínai állami támogatású APT41 kiberkémcsoport új, kifinomult módszert alkalmazott: a Google Naptár szolgáltatást használta rosszindulatú szoftverének, a TOUGHPROGRESS-nek parancs- és vezérlési (C2) csatornaként. A támadást 2024 októberében fedezte fel a Google Threat Intelligence Group (GTIG), és a célpontok között több kormányzati szervezet is szerepelt.

Olaszország, Spanyolország és az Egyesült Királyság is az érintett európai célpontok közé tartozott abban a malwarekampányban, amelyben a támadók célzott adathalász e-maileket küldtek, amelyek egy ZIP archívumra mutató linket tartalmaztak. Ez az archívum egy könyvtárat és egy Windows parancsikont (LNK fájlt) tartalmazott, amely PDF dokumentumnak álcázta magát. A könyvtárban hét képnek tűnő fájl volt, de ezek közül kettő valójában rosszindulatú komponens volt.

A fő kártékony komponens, a TOUGHPROGRESS úgy működik, hogy lekérdezi az APT41 által vezérelt Google Naptár eseményeit, amelyekbe titkosított parancsokat ágyaztak. A malware ezeket a parancsokat dekódolja, végrehajtja a fertőzött rendszeren, majd az ellopott adatokat újan létrehozott (és nulla perc hosszúságú) naptáresemények leírásába írja vissza, ahol a támadók hozzáférhetnek az információkhoz.

Védekezés és következmények

A Google megszüntette a rosszindulatú Google Naptár fiókokat és a kapcsolódó Workspace előfizetéseket, ezzel hatástalanítva a kampányt. Az érintett szervezeteket értesítették, bár a támadás pontos mértéke nem ismert.

Ez az eset rávilágít arra, hogy a fenyegető szereplők egyre gyakrabban használják ki a felhőalapú szolgáltatásokat, például a Google Naptárt, hogy elrejtsék tevékenységüket és megkerüljék a hagyományos biztonsági intézkedéseket. A vállalatoknak fokozott figyelmet kell fordítaniuk a felhőszolgáltatások monitorozására és a gyanús tevékenységek azonosítására.

Az APT41 korábban is alkalmazott hasonló technikákat, például a GC2 nevű nyílt forráskódú eszközt, amely a Google Sheets és Drive szolgáltatásokat használta C2 kommunikációra és adatlopásra. (Cyware Labs)

A TOUGHPROGRESS használata újabb példája annak, hogyan képesek a kiberkémcsoportok a legitim szolgáltatásokat kihasználni a rosszindulatú tevékenységek elrejtésére.

Forrás: The Hacker News