Blackwood, implantı dağıtırken meşru yazılımlardan gelen güncelleme taleplerini ele geçirmek için ortadaki adam tekniklerinden yararlanıyor. Çin, Japonya ve Birleşik Krallık’tan bireylere ve şirketlere karşı siber casusluk operasyonları gerçekleştiriyor. NSPX30 implantı Tencent QQ, WPS Office ve Sogou Pinyin gibi yasal yazılımların güncelleme mekanizmaları aracılığıyla dağıtılıyor. Araştırma, NSPX30’un gelişiminin izini 2005 yılında Project Wood adı verilen ve kurbanlarından veri toplamak için tasarlanan küçük bir arka kapıya kadar sürüyor. NSPX30, damlalık, yükleyiciler, orkestratör ve arka kapı gibi çeşitli bileşenleri içeren çok aşamalı bir implant. NSPX30 ayrıca çeşitli Çin kötü amaçlı yazılımdan koruma çözümlerinde kendisini izin verilenler listesine ekleme yeteneğine sahip. ESET bu aktiviteyi Blackwood adını verdiği yeni bir APT grubuna bağladığını açıkladı.
ESET Research, Blackwood ve arka kapı Project Wood’u muteks adında yinelenen bir temaya dayanarak adlandırdı. Muteks veya karşılıklı dışlama, paylaşılan bir kaynağa erişimi kontrol etmek için kullanılan bir senkronizasyon aracı. 2005’teki Project Wood implantı, uygulanan teknikler göz önüne alındığında, kötü amaçlı yazılım geliştirme konusunda deneyimli geliştiricilerin işi olarak görünüyor. ESET, Blackwood adını verdiği Çin bağlantılı tehdit aktörünün en az 2018’den beri faaliyet gösterdiğini düşünüyor.
ESET telemetrisine göre, NSPX30 implantı kısa süre önce az sayıda sistemde tespit edildi. Kurbanlar arasında Çin ve Japonya’da bulunan kimliği belirsiz kişiler, Birleşik Krallık’taki yüksek profilli bir kamu araştırma üniversitesinin ağına bağlı Çince konuşan kimliği belirsiz bir kişi, Çin’de bulunan büyük bir üretim ve ticaret şirketi ve mühendislik ve üretim sektöründeki bir Japon şirketinin Çin merkezli ofisleri yer alıyor. ESET, saldırganların, erişimin kaybedilmesi durumunda sistemleri yeniden ele geçirmeye çalıştıklarını da gözlemledi.
NSPX30, damlalık, yükleyiciler, orkestratör ve arka kapı gibi çeşitli bileşenleri içeren çok aşamalı bir implant. Son bileşenlerin her ikisi de Skype, Telegram, Tencent QQ ve WeChat gibi çeşitli uygulamalar için casusluk yetenekleri uygulayan kendi eklenti setlerine sahip. Ayrıca çeşitli Çin antivirüs çözümlerinden kaçınma yeteneğine de sahip. ESET Research, meşru yazılımlar (şifrelenmemiş) HTTP protokolünü kullanarak meşru sunuculardan güncellemeleri indirmeye çalıştığında makinelerin tehlikeye girdiğini belirledi. Ele geçirilen yazılım güncellemeleri arasında Tencent QQ, Sogou Pinyin ve WPS Office gibi popüler Çin yazılımları da bulunuyor. Arka kapının temel amacı denetleyicisiyle iletişim kurmak ve toplanan verileri dışarı sızdırmak. Ekran görüntüsü alabilir, keylogging yapabilir ve çeşitli bilgiler toplayabilir.
Saldırganların engelleme yeteneği, orkestratör ve arka kapı yeni bileşenler indirmek veya toplanan bilgileri dışarı sızdırmak için Baidu’nun sahip olduğu meşru ağlarla iletişim kurarken gerçek altyapılarını anonimleştirmelerine de olanak tanıyor. ESET, NSPX30 tarafından üretilen kötü niyetli ancak meşru görünen trafiğin, ortadaki düşman saldırılarını da gerçekleştiren bilinmeyen durdurma mekanizması tarafından gerçek saldırganların altyapısına iletildiğine inanıyor.
NSPX30 ve Blackwood’u keşfeden ESET araştırmacısı Facundo Muñoz, “Saldırganların kötü niyetli güncellemeler olarak NSPX30’u tam anlamıyla nasıl sunabildiklerini bilmiyoruz zira saldırganların başlangıçta hedeflerini tehlikeye atmalarını olanak tanıyan aracı henüz keşfetmedik” dedi. Muñoz, “Ancak bu yetenekleri sergileyen Çin’e bağlı tehdit aktörleriyle ilgili kendi deneyimlerimize ve Çin’e bağlı başka bir grup olan MustangPanda’ya atfedilen yönlendirici implantlarıyla ilgili son araştırmalara dayanarak, saldırganların kurbanların ağlarına, muhtemelen yönlendiriciler veya ağ geçitleri gibi savunmasız ağ cihazlarına bir ağ implantı yerleştirdiğini tahmin ediyoruz” diye açıklama yaptı.
