LongNosedGoblin: Çin Bağlantılı APT Grubu ve Bulut Tabanlı C&C Kullanımı

LongNosedGoblin adını taşıyan Çin bağlantılı bir APT grubunun Güneydoğu Asya ile Japonya bölgelerinde devlet kurumlarını hedeflediği ve siber casusluk araçları kullandığı ESET Research tarafından ortaya konuldu. Grup, Windows makinelerdeki ayarları ve izinleri yönetmek için yaygın olarak Active Directory ile çalışan bir mekanizmayı kötüye kullanarak yeni yazılımları dağıtıyor ve bulaştığı ağlarda yatay hareketlilik sağlıyor. 2023 yılından itibaren faaliyet gösterdiği belirtilen grubun, Eylül 2025 itibarıyla bölgedeki etkinliğini yeniden başlattığı gözlemleniyor.

LongNosedGoblin, ele geçirilen ağlarda Komuta ve Kontrol (C&C) için bulut hizmetlerini kullanıyor; örnek olarak Microsoft OneDrive ve Google Drive gösteriliyor. Saldırganlar, ağ içi operasyonlarını sürdürmek ve komut almak için bu bulut altyapılarını araç olarak kullanıyorlar. Grup tarafından kullanılan araçlar arasında çeşitli bilgi hırsızlığı ve yönlendirme işlevleri bulunan yazılımlar yer alıyor.

NosyHistorian adını taşıyan C#/.NET tabanlı bir araç, Google Chrome, Microsoft Edge ve Mozilla Firefox tarayıcı geçmişini toplayarak, hangi dosyaların hedeflenen konumlara yerleştirilmesi gerektiğini belirlemek için verileri topluyor.

NosyDoor ise kurbanın makine adı, kullanıcı adı, işletim sistemi sürümü ve mevcut işlem adı gibi meta verileri toplayıp C&C’ye iletiyor; daha sonra C&C’den aldığı görev dosyalarını ayrıştırıp çalıştırabiliyor. Bu görevler arasında dosyaları sızdırma, silme ve kabuk komutlarını yürütme bulunuyor.

Diğer araçlar arasında tarayıcı verilerini hedefleyen NosyStealer, belleğe yük indirerek çalışan NosyDownloader ve saydam şekilde çalışan keylogger benzeri NosyLogger yer alıyor. Ayrıca ters SOCKS5 proxy ve ses ile video kaydı için potansiyel olarak FFmpeg benzeri bir video kaydedici kullanan bir araç da mevcut.

Birlikte çalışan güvenlik analistleri, Yandex Disk bulut hizmetini C&C olarak kullanan başka bir NosyDoor varyantını tespit ettiklerini belirtiyor; bu durum, kötü amaçlı yazılımın Çin bağlantılı birden çok tehdit grubu arasında paylaşılabileceğini gösteriyor.

Rapor, ESET araştırmacısı Anton Cherepanov ile Peter Strýček’in çalışmalarını özetlerken, farklı teknikler kullanılarak bahsedilen bulut tabanlı C&C yaklaşımının bir AB ülkesindeki bir kuruluşa yönelik bir varyantta görüldüğünü ifade ediyor.