Framewok DKnife: Uma Ameaça Cibernética Ligada à China

Índice

Framewok DKnife: Uma Ameaça Cibernética Ligada à China

Cientistas de cibersegurança revelaram um framework de monitoramento de gateway e adversário no meio (AitM) chamado DKnife, operado por atores de ameaças ligados à China desde pelo menos 2019. O framework compreende sete implantes baseados em Linux projetados para realizar inspeção de pacotes profundos, manipular tráfego e entregar malware via roteadores e dispositivos de bordo.

Funcionamento do DKnife

O DKnife é composto por sete componentes diferentes:
- dknife.bin: O sistema nervoso central do framework responsável por inspeção de pacotes profundos, relatórios de atividades de usuários, roubo de downloads de binários e DNS hijacking.
- postapi.bin: Módulo de relatório de dados que atua como um relay, recebendo tráfego do DKnife e relatando para servidores C2 remotos.
- sslmm.bin: Módulo de proxy reverso modificado do HAProxy que realiza a terminação de TLS, a descodificação de e-mails e a reroteamento de URLs.
- mmdown.bin: Módulo de atualização que se conecta a um servidor C2 hard-codificado para baixar APKs usados na ataque.
- yitiji.bin: Módulo de forward de pacotes que cria uma interface TAP abreviada no roteador para hospedar e rotar tráfego de rede injetado pelo atacante.
- remote.bin: Módulo de cliente VPN P2P que cria um canal de comunicação com servidores C2 remotos.
- dkupdate.bin: Módulo de atualização e vigia que mantém os componentes vivos.

Objetivos do DKnife

O DKnife pode roubar credenciais de um provedor de e-mail chinês e hospedar páginas de phishing para outros serviços.
O framework pode realizar inspeção de pacotes profundos, monitorar atividades de usuários e realizar ataques ativos em linha que substituem downloads legítimos por payloads maliciosos.
O DKnife pode realizar DNS-based hijacking para facilitar redirecionamentos maliciosos para domínios relacionados à JD.com.
O framework pode roubar downloads de binários e aplicativos de Android e Windows, entregando malware via DLL side-loading.

O DKnife é uma ameaça cibernética significativa que pode afetar usuários chineses e outros usuários em todo o mundo.

Fontes: The Hacker News. Curadoria e Insights: Redação YTI&W.