近期，东南亚电信组织成为国家级威胁组织CL-STA-0969的攻击目标。该组织自2020年起，持续针对南亚、非洲的电信实体进行情报窃取活动，并与LightBasin（UNC1945）和金融犯罪组织UNC2891有关联。攻击者通过暴力破解SSH认证、利用定制字典列表突破电信设备账户，并部署了AuthDoor、GTPDoor、EchoBackdoor、SGSN模拟器、ChronosRAT和NoDepDNS等一系列定制化工具，实现了对目标网络的远程控制和隐蔽通信。值得注意的是，虽然攻击者具备高超的OPSEC能力，运用多种防御规避技术，但在已披露的事件中未发现数据外泄证据，也未尝试追踪或联络移动网络内部设备。此次披露的时机也恰逢中国CNCERT指控美国情报机构的网络攻击活动，引发对网络安全和地缘政治的广泛关注。

🎯 **APT组织CL-STA-0969的攻击活动**：国家级威胁组织CL-STA-0969自2020年起，频繁针对东南亚、南亚及非洲的电信组织发起攻击，旨在窃取情报。该组织表现出极高的操作安全（OPSEC）意识，并与LightBasin（UNC1945）和UNC2891等组织存在关联。

🛠️ **定制化恶意工具链**：CL-STA-0969部署了包括AuthDoor（窃取凭证、维持持久访问）、GTPDoor（建立隐蔽C2通道）、EchoBackdoor（通过ICMP接收指令）、SGSN模拟器（绕过防火墙）、ChronosRAT（模块化后门）和NoDepDNS（DNS隧道后门）在内的一系列定制化恶意工具，以实现对目标网络的深度控制。

🛡️ **高超的防御规避技术**：该组织运用DNS隧道、利用被控移动运营商中转通信、清除日志、禁用SELinux、进程伪装、部署Microsocks/FRP/ProxyChains等公开工具，并利用Linux本地提权漏洞（如CVE-2021-4034）来躲避检测和扩大攻击范围。

❓ **未发现数据泄露**：尽管攻击者技术娴熟且具备隐蔽性，但Palo Alto Networks Unit 42实验室在调查中未发现任何数据外泄的证据，也未观察到攻击者试图追踪或联络移动网络内部设备，这使得其攻击的具体目的更加扑朔迷离。

🌐 **攻击时机与地缘政治关联**：此次披露正值中国CNCERT指控美国情报机构利用零日漏洞进行网络间谍活动之际，这使得此次APT攻击事件的背景更加复杂，并引发了关于网络安全与国家间信息战的讨论。

HackerNews 编译，转载请注明出处：

东南亚电信组织近期遭国家级威胁组织CL-STA-0969定向攻击，该组织通过部署定制化工具实现对目标网络的远程控制。Palo Alto Networks旗下Unit 42实验室披露，2024年2月至11月期间监测到多起针对该地区关键电信基础设施的攻击事件，攻击者利用Cordscan等工具收集移动设备位置数据。

值得注意的是，调查人员在受感染系统和网络中未发现数据外泄证据，也未观察到攻击者尝试追踪或联络移动网络内部设备。研究人员强调：“该威胁组织具备极高的操作安全（OPSEC）规范，综合运用多种防御规避技术躲避检测”。

该组织自2020年起持续针对南亚、非洲电信实体实施情报窃取活动。部分攻击手法还与“LightBasin”（又名UNC1945）及金融犯罪组织“UNC2891”存在关联——后者以劫持ATM基础设施著称。

攻击者通过SSH认证机制的暴力破解获取访问权限，采用针对电信设备内置账户的定制化字典列表实施突破。

恶意工具链

AuthDoor：覆盖合法PAM模块实施凭证窃取，通过硬编码魔术密码维持持久访问GTPDoor：滥用GPRS隧道协议控制面（GTP-C）在电信漫游网络建立隐蔽C2通道EchoBackdoor：通过ICMP回显请求数据包被动接收指令，未加密返回执行结果SGSN模拟器：模拟服务GPRS支持节点，绕过企业防火墙限制ChronosRAT：模块化ELF后门支持远程Shell、键盘记录及端口转发NoDepDNS：基于Golang的DNS隧道后门，通过原始套接字解析53端口UDP指令

防御规避

攻击组合利用DNS隧道传输流量、通过被控移动运营商中转通信、清除认证日志、禁用SELinux安全模块及进程名称伪装等技术。同时部署Microsocks代理、FRP反向代理及ProxyChains等公开工具，并利用Linux本地提权漏洞（CVE-2021-4034等）扩大控制范围。

本次披露恰逢中国国家计算机网络应急技术处理协调中心（CNCERT）指控美国情报机构：

利用Microsoft Exchange零日漏洞（2022年7月-2023年7月）窃取中国军工企业国防情报针对高科技军事院校及科研机构实施数据窃取2024年7-11月通过电子文件系统漏洞攻击中国通信卫星企业

对此，美国前总统特朗普曾公开承认：“我们同样对他们实施网络行动，这就是世界的运行规则。”

 

 

 

---

消息来源：thehackernews；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文