摘要: 自2018年以来，与巴基斯坦有关的威胁行动者与一个被称为“天体力量行动”（Operation Celestial Force）的长期恶意软件活动有关。这一活动仍在进行中，涉及使用名为GravityRAT的Android恶意软件和一个名为HeavyLift的Wi...
自2018年以来，与巴基斯坦有关的威胁行动者与一个被称为“天体力量行动”（Operation Celestial Force）的长期恶意软件活动有关。这一活动仍在进行中，涉及使用名为GravityRAT的Android恶意软件和一个名为HeavyLift的Windows基础恶意软件加载器，根据Cisco Talos的报告，这些恶意软件是通过另一个独立的工具GravityAdmin进行管理的。
网络安全研究人员将这次入侵归因于他们追踪的一个名为Cosmic Leopard（也称为SpaceCobra）的对手，该对手表现出与Transparent Tribe在战术上有一定程度的重叠。
"天体力量行动自2018年以来一直活跃，并持续至今——不断利用不断扩展和演变的恶意软件套件——表明该行动在针对印度次大陆的用户方面可能取得了高度成功，"安全研究人员Asheer Malhotra和Vitor Ventura在与The Hacker News分享的技术报告中说。
GravityRAT最初在2018年作为一种针对印度实体的Windows恶意软件出现，通过鱼叉式钓鱼邮件传播，拥有不断发展的功能集，以从被攻击的主机中收集敏感信息。自那时以来，该恶意软件已被移植到Android和macOS操作系统上，使其成为一种多平台工具。
去年Meta和ESET的后续发现揭示了GravityRAT的Android版本继续被用于针对印度的军事人员以及巴基斯坦空军，通过伪装成云存储、娱乐和聊天应用程序。
Cisco Talos的发现将所有这些不同但相关的活动统一在一个共同的伞下，由证据驱动，指向威胁行动者使用GravityAdmin来协调这些攻击。
Cosmic Leopard主要被观察到使用鱼叉式钓鱼和社会工程学来与潜在目标建立信任，然后发送给他们一个恶意网站的链接，指示他们下载一个看似无害的程序，该程序会根据使用的操作系统下载GravityRAT或HeavyLift。
GravityRAT据说早在2016年就被使用。另一方面，GravityAdmin是一个自2021年8月以来用于指挥感染系统的二进制文件，通过与GravityRAT和HeavyLift的命令和控制（C2）服务器建立连接。
"GravityAdmin包含多个内置用户界面（UI），对应于恶意操作者操作的特定、代号命名的活动，"研究人员指出。"例如，'FOXTROT'、'CLOUDINFINITY'和'CHATICO'是所有基于Android的GravityRAT感染的名称，而'CRAFTWITHME'、'SEXYBER'和'CVSCOUT'是部署HeavyLift的攻击的名称。"
威胁行动者武库中新发现的组成部分是HeavyLift，这是一个基于Electron的恶意软件加载器家族，通过针对Windows操作系统的恶意安装程序进行分发。它还与Kaspersky在2020年记录的GravityRAT的Electron版本有相似之处。
一旦启动，该恶意软件能够收集并导出系统元数据到硬编码的C2服务器，并定期轮询服务器以获取要在系统上执行的新负载。此外，它还被设计为在macOS上执行类似功能。
"这项多年的行动持续针对印度实体和可能属于国防、政府和相关技术领域的个人，"研究人员说。
