Група, свързана с Китай, използва уязвимост тип zero-day в Lanscope, за да поеме контрол над корпоративни системи

Експлоатирането на наскоро разкрита критична уязвимост в Motex Lanscope Endpoint Manager се приписва на кибершпионска група, известна като Tick.

Уязвимостта, проследявана под идентификатор CVE-2025-61932 (CVSS оценка: 9.3), позволява на отдалечени атакуващи да изпълняват произволни команди с привилегии на SYSTEM в локалните версии на програмата. В издадено този месец предупреждение, JPCERT/CC заяви, че е потвърдила сигнали за активно използване на уязвимостта за инсталиране на бекдор на компрометирани системи.

Tick, известна още като Bronze Butler, Daserf, REDBALDKNIGHT, Stalker Panda, Stalker Taurus и Swirl Typhoon (по-рано Tellurium), е китайска кибершпионска група, известна с мащабното си насочване към Източна Азия, особено към Япония. Смята се, че е активна поне от 2006 година насам.

„Наясно сме с много целенасочена активност в Япония и вярваме, че експлоатацията от страна на Bronze Butler е била ограничена до сектори, съответстващи на техните разузнавателни цели“, казва Рейф Пилинг, директор по разузнаване на заплахите в Sophos CTU, пред The Hacker News. „Тъй като тази уязвимост вече е публично разкрита, е възможно и други злонамерени лица да се опитат да я използват.“

Сложната кампания, наблюдавана от Sophos, включва експлоатирането на CVE-2025-61932 за доставка на познат бекдор, наречен Gokcpdoor, който може да установи прокси връзка с отдалечен сървър и да действа като бекдор за изпълнение на злонамерени команди на компрометирания хост.

„Вариантът от 2025 година е прекратил поддръжката за KCP протокола и е добавил мултиплексирана комуникация чрез външна библиотека [smux] за комуникацията си с командно-контролния сървър (C2)“, се казва в доклад от четвъртък на Sophos Counter Threat Unit (CTU).

Компанията за киберсигурност посочва, че е идентифицирала два различни типа на Gokcpdoor, обслужващи различни цели:

• Сървърен тип, който слуша за входящи клиентски връзки с цел осигуряване на отдалечен достъп

• Клиентски тип, който инициира връзки към предварително зададени C2 сървъри с цел установяване на прикрит комуникационен канал

Атаката се характеризира и с внедряване на Havoc – рамка за действия след компрометиране на системи (post-exploitation framework), като веригата на заразяване разчита на DLL side-loading, за да стартира DLL loader, наречен OAED Loader, който инжектира полезния товар.

Някои от другите инструменти, използвани при атаката за улесняване на хоризонтално придвижване и извличане на данни, включват:

goddi – инструмент с отворен код за извличане на информация от Active Directory, Remote Desktop – за отдалечен достъп чрез бекдор тунел и 7-Zip

Установено е също, че атакуващите са осъществявали достъп до облачни услуги като io, LimeWire и Piping Server чрез уеб браузър по време на отдалечени сесии, с цел извличане на събраните данни.

Това не е първият път, когато групата Tick е наблюдавана да използва zero-day уязвимости в своите кампании. През октомври 2017 г. Secureworks (собственост на Sophos) документира експлоатирането на все още неотстранена уязвимост за отдалечено изпълнение на код (CVE-2016-7836) в SKYSEA Client View – японски софтуер за управление на IT активи – за компрометиране на системи и кражба на данни.

„Организациите трябва да актуализират уязвимите Lanscope сървъри в съответствие със своите среди“, се казва в изявление на Sophos Threat Response Unit (TRU). „Също така се препоръчва преглед на Lanscope сървъри с публичен достъп, на които са инсталирани Lanscope клиентската програма (MR) или агентът за засичане (DA), за да се определи дали съществува реална бизнес нужда те да бъдат публично достъпни.“

Източник: https://thehackernews.com/