威胁情报信息分享|印度归属的雇佣黑客团伙针对美国、中国等国家进行了超过10年的攻击

一个印度的雇佣黑客团伙在过去十多年中针对美国、中国、缅甸、巴基斯坦、科威特以及其他国家进行了广泛的间谍、监视和破坏行动。

根据SentinelOne的深入分析，Appin软件安全公司（又名Appin安全集团）最初是一家提供攻击性安全培训项目的教育初创企业，自2009年起秘密进行黑客操作。

2013年5月，ESET披露了一系列针对巴基斯坦的网络攻击，使用信息窃取恶意软件。尽管这些活动被归咎于一个名为Hangover（又名Patchwork或Zinc Emerson）的群体，但证据显示这些基础设施是由Appin拥有和控制的。

SentinelOne的安全专家Tom Hegel在上周发表的一项综合分析中表示：“该集团对高价值个人、政府组织和其他涉及特定法律纠纷的企业进行了黑客攻击。Appin的黑客操作和整体组织在很多时候看起来不够正规、笨拙且技术上粗糙；然而，它们的操作对其客户来说非常成功，对世界事务产生了重大影响。”

这些发现基于路透社获得的非公开数据，该数据指出Appin组织了针对政治领袖、国际高管、体育人物等的大规模数据窃取攻击。对此，该公司否认了与雇佣黑客业务的联系。

Appin提供的核心服务之一是名为“MyCommando”（又名GoldenEye或Commando）的工具，允许其客户登录以查看和下载特定活动的数据和状态更新，进行安全通信，并从多种任务选项中选择，范围从开源研究到社交工程到特洛伊木马活动。

针对中国和巴基斯坦的攻击证实了一个印度裔雇佣集团被用来进行国家支持的攻击。Appin还被认为是2013年发现的macOS间谍软件KitM背后的主谋。

更重要的是，SentinelOne表示，它还发现了针对印度和美国的锡克教徒进行国内攻击的实例，目的是窃取电子邮件账户的登录凭据。

“在一次无关的活动中，该集团还使用了一个名为speedaccelator[.]com的域名作为FTP服务器，托管用于恶意网络钓鱼电子邮件的恶意软件，其中之一用于针对后来被ModifiedElephant APT攻击的印度个人。”Hegel指出。值得注意的是，Secureworks之前已经确定了Patchwork与ModifiedElephant的联系。

除了利用第三方提供的大型基础设施进行数据泄露、命令和控制（C2）、网络钓鱼和设置诱饵网站之外，这个神秘的私营部门攻击者（PSOA）据说还依赖于Vervata、Vupen和Core Security等私人供应商提供的间谍软件和利用服务。

在另一种引人注目的策略中，Appin被发现利用位于加利福尼亚的自由职业平台Elance（现称Upwork）从外部软件开发人员那里购买恶意软件，同时还使用其内部员工开发一系列定制的黑客工具。

Hegel说：“这些研究结果突显了该集团的非凡坚韧和成功执行攻击的良好记录，为多样化的客户群服务。”

这一进展是在以色列私家侦探Aviram Azari因涉嫌计算机入侵、电信诈骗和严重身份盗用而在美国被判处近七年联邦监狱刑期之后发生的。Azari在2014年11月至2019年9月期间参与了一项全球性的雇佣黑客计划，他于2019年9月被逮捕。

“Azari拥有并经营了一家以色列情报公司，”司法部（DoJ）上周表示。“客户雇佣Azari管理被描述为情报搜集工作的‘项目’，但实际上是针对特定受害者群体的黑客活动。”

Aviram还被指控在印度使用雇佣黑客，一家名为BellTroX Infotech（又名Amanda或Dark Basin）的公司，帮助客户通过网络钓鱼攻击在法庭争斗中获得优势，并最终访问受害者账户并窃取信息。

BellTrox由Sumit Gupta于2013年5月创立。路透社在2022年6月披露，在成立该公司之前，Gupta曾为Appin工作。