Новая APT-группа BackdoorDiplomacy атакует дипломатов в Африке и на Ближнем Востоке, выясняет ESET Research.

«BackdoorDiplomacy делится тактикой, приемами и процедурами с другими азиатскими группами. Turian, вероятно, представляет собой следующий этап эволюции Quarian, бэкдора, который последний раз использовался в 2013 году против дипломатических целей в Сирии и США », - говорит Жан-Ян Бутен, руководитель отдела исследования угроз в ESET, который работал над этим расследованием вместе с Адамом. Бюргер, старший аналитик по анализу угроз в ESET. Протокол сетевого шифрования Turian почти идентичен протоколу сетевого шифрования, используемому Whitebird, бэкдором, управляемым Calypso, другой азиатской группой. Whitebird был развернут в дипломатических организациях в Казахстане и Кыргызстане в то же время, что и BackdoorDiplomacy (2017-2020). 
Жертвы BackdoorDiplomacy были обнаружены в министерствах иностранных дел ряда африканских стран, а также в Европе, на Ближнем Востоке и в Азии. Дополнительные цели включают телекоммуникационные компании в Африке и по крайней мере одну ближневосточную благотворительную организацию. В каждом случае операторы использовали схожие тактики, приемы и процедуры (ДТС), но изменили используемые инструменты даже в пределах близких географических регионов, что, вероятно, затруднило отслеживание группы. 
BackdoorDiplomacy также является кроссплатформенной группой, ориентированной на системы как Windows, так и Linux. Группа нацелена на серверы с доступными в Интернет портами, вероятно, используя плохо обеспеченную защиту загрузки файлов или незащищенные уязвимости - в одном случае это привело к веб-оболочке под названием China Chopper, которая используется различными группами. Операторы пытались замаскировать свои бэкдор-дропперы и избежать обнаружения.


Жертвы по странам и вертикали

 Подмножество жертв были нацелены на исполняемые файлы сбора данных, которые были разработаны для поиска съемных носителей (скорее всего, USB-флеш-накопителей). Имплант обычно сканирует такие диски и, обнаружив вставку съемного носителя, пытается скопировать все файлы на них в архив, защищенный паролем. BackdoorDiplomacy может похищать системную информацию жертвы, делать снимки экрана, а также записывать, перемещать или удалять файлы.