CTT Report Hub

#ParsedReport #CompletenessMedium 11-03-2026 APT Profile Earth Lusca https://www.cyfirma.com/research/apt-profile-earth-lusca/ Report completeness: Medium Actors/Campaigns: Earth_lusca (motivation: information_theft, cyber_espionage, financially_motivated)…

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Earth Lusca, связанная с Китаем APT-группировка, действующая с 2019 года, фокусируется на кибершпионаже в таких секторах, как правительство и телекоммуникации, а также нацелена на криптовалютные платформы для получения финансовой выгоды. Его расширяющийся арсенал вредоносного ПО включает KTLVdoor, мультиплатформенный бэкдор в Go с расширенной защитой от обфускации, который позволяет удаленно выполнять команды как в системах Windows, так и в Linux, и использует установленное вредоносное ПО, такое как ShadowPad и Cobalt Strike. Группа использует сложные методы управления с ротацией облачных серверов, используя методы фреймворка MITRE ATT&CK для постоянного доступа и устойчивого сбора разведывательной информации.
-----

Earth Lusca, также известная как FishMonger, представляет собой связанную с Китаем APT-группировку, которая действует с 2019 года. Группа в первую очередь занимается кибершпионажем, нацеленным на различные секторы, включая правительство, СМИ, телекоммуникации, научные круги и религиозные организации, а также проводит финансово мотивированные атаки на криптовалютные платформы. Его деятельность отражает значительную зависимость от известных семейств вредоносного ПО и передовых технологий, часто связанных с другими группами, такими как APT41 и Winnti Group, хотя Earth Lusca, по-видимому, действует независимо.

Недавние действия Earth Lusca свидетельствуют об эволюции ее арсенала вредоносного ПО, особенно с внедрением KTLVdoor. Этот мультиплатформенный бэкдор, написанный на Go, использует передовые методы запутывания и может маскироваться под законные системные утилиты, такие как sshd и java. Бэкдор предоставляет злоумышленникам широкие возможности, включая удаленное выполнение команд, сканирование портов, манипулирование файлами и мониторинг системы как в системах Windows, так и в Linux. Оперативная деятельность группы по-прежнему сосредоточена на скрытности и закреплении, что имеет решающее значение для ее долгосрочных целей шпионажа.

Несмотря на интеграцию новых инструментов, Earth Lusca продолжает использовать набор установленных вредоносных ПО, таких как ShadowPad, Winnti, Spyder и Cobalt Strike, для поддержания доступа и эксфильтрации данных. Эти инструменты являются модульными и расширяют возможности злоумышленников выполнять удаленные команды, проводить разведку и доставлять дополнительную полезную нагрузку. Целевая стратегия группы особенно ярко выражена в Азиатско-Тихоокеанском регионе, с акцентом на секторы, связанные с конфиденциальной политической, экономической или технологической информацией, подчеркивая их цели, связанные со сбором разведывательных данных.

Для поддержки своей деятельности Earth Lusca разработала сложную архитектуру управления (C2), которая включает в себя несколько серверов, управляемых через облачных провайдеров. Такое расположение обеспечивает быструю ротацию инфраструктуры, усложняя усилия по обнаружению с помощью мер безопасности. Более того, группа использует передовые методы обфускации и антианализа, такие как шифрование сообщений и переименование функций в своих двоичных файлах вредоносного ПО, чтобы препятствовать обратному проектированию и продлить эффективность своих инструментов.

Методы атак, используемые Earth Lusca, тесно связаны с фреймворком MITRE ATT&CK в различных категориях, включая первоначальный доступ с помощью spear phishing и использование общедоступных приложений, закрепление с помощью таких методов, как запланированные задачи и сервисы, и стратегии эксфильтрации данных с использованием облачных хранилищ. Системный подход группы делает упор на постоянный доступ к сетям компрометации и подчеркивает ее долгосрочные цели шпионажа, а не сиюминутную финансовую выгоду, что позволяет осуществлять постоянный сбор конфиденциальной информации.

158 views18:14