وقد وصفت المجموعة بأنها "مستمرة بشكل ملحوظ" في الهجمات الإلكترونية.
كشف الباحثون عن الأعمال الداخلية لفريق Donot ، وهي مجموعة تهديد ستضرب نفس الأهداف لسنوات إذا كان هذا هو ما يتطلبه النجاح.
المعروف أيضًا باسم APT-C-35 و SectorE02 ، قامت مؤسسة الحدود الإلكترونية (EFF) سابقًا بربط فريق Donot بشركة Innefu Labs ، وهي شركة هندية للأمن السيبراني تدعي أنها تعمل مع الحكومة.
وفقًا لـ EFF ، لا يبدو أن Innefu Labs تمارس "العناية الواجبة بحقوق الإنسان" على العملاء وحلول المراقبة الخاصة بها "على الرغم من المخاطر الهائلة التي تشكلها منتجاتهم على المجتمع المدني".
نشط منذ عام 2016 على الأقل ، يميل فريق Donot إلى التركيز على عدد صغير من الأهداف في البلدان الآسيوية بما في ذلك بنغلاديش وسريلانكا وباكستان ونيبال. الكيانات بما في ذلك الإدارات الحكومية المحلية والسفارات والوحدات العسكرية ووزارات الخارجية مدرجة في قائمة الضحايا.
في حين تميل مجموعة التهديد المستمر المتقدم (APT) إلى البقاء داخل هذه المنطقة الجغرافية ، فقد تم تتبع فريق Donot أيضًا لهجمات ضد السفارات في الشرق الأوسط وأمريكا اللاتينية وأمريكا الشمالية وأوروبا.
يستفيد أعضاء مجموعة Donot Team من إطار عمل البرامج الضارة "yty" المخصص في الهجمات. البرامج الضارة المستخدمة مناسبة لأجهزة Windows وأجهزة Android.
ما يجعل APT مثيرة للاهتمام هو اتساقها ومدى استمرار فريق Donot. وفقًا لباحثي ESET ، ستعمل المجموعة باستمرار على الوصول إلى شبكة مستهدفة ، في بعض الحالات لسنوات ، حتى يعثروا على طريقة للدخول.
تقول إسيت: "ليس من النادر أن يحاول مشغلو APT استعادة الوصول إلى شبكة مخترقة بعد طردهم منها". "في بعض الحالات ، يتم تحقيق ذلك من خلال نشر باب خلفي أكثر تخفيًا يظل هادئًا إلى أن يحتاجه المهاجمون ؛ وفي حالات أخرى ، يقومون ببساطة بإعادة تشغيل عملياتهم باستخدام برامج ضارة جديدة أو متغير من البرامج الضارة التي استخدموها سابقًا. وهذا الأخير هو مع مشغلي فريق Donot ، فقط لأنهم مثابرون بشكل ملحوظ في محاولاتهم ".
يقول باحثو الأمن السيبراني إنه سيتم إرسال رسائل البريد الإلكتروني المخادعة كل شهرين إلى أربعة أشهر إلى نفس الأهداف. هذا الاتساق ، الذي يهدف إلى إغراء الموظف بفتح مرفق مكتبي خبيث ، لم يتم تحقيقه من خلال الانتحال ؛ بدلاً من ذلك ، يبدو أن حسابات البريد الإلكتروني المخترقة - أو خوادم البريد الإلكتروني الإجمالية - التي تم الحصول عليها في الحملات السابقة تُستخدم لإجراء المزيد من محاولات التصيد الاحتيالي.
إذا فتحت الضحية أحد المرفقات ، فإنها معرضة للخطر من خلال وحدات الماكرو الضارة أو ملفات .RTF بملحقات .doc التي تحتوي على استغلال ل CVE ‑ 2017-11882 ، وهو عيب في تلف ذاكرة Microsoft Office يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).
بالإضافة إلى ذلك ، تحتوي ملفات .RTF على .DLLs مضمنة يمكن استخدامها لتنزيل المزيد من المكونات الضارة ونشر كود القشرة.
يتم استخدام كود القشرة لتقديم برامج ضارة DarkMusical و Gedit. يتكون DarkMusical من سلسلة من برامج التنزيل والقطارات ، مما يؤدي إلى إطلاق باب خلفي أساسي مهمته التعامل مع اتصالات خادم القيادة والتحكم (C2) وإنشاء الملفات والمجلدات واستخراج البيانات.
يرتبط Gedit أيضًا بإطار yty. يقوم متغير البرامج الضارة هذا بتنزيل المكونات للحفاظ على الثبات - مثل من خلال المهام المجدولة - ويحتوي أيضًا على إمكانيات shell العكسية ووظائف لقطة الشاشة ، وهو قادر على جمع الملفات وسرقتها.
تقول إسيت: "فريق Donot يعوض عن قلة تطوره بالمثابرة". "نتوقع أنها ستستمر في المضي قدمًا بغض النظر عن النكسات العديدة. فقط الوقت هو الذي سيحدد ما إذا كانت المجموعة تطور TTPs والبرامج الضارة الحالية."
