به گزارش کارگروه حملات سایبری سایبربان؛ طبق ادعای NTT Security، گروه جاسوسی سایبری BlackTech (بلک تِک) با استفاده از بدافزار جدیدی به نام Flagpro (فِلَگ پرو) شرکت های ژاپنی را هدف قرار می دهد.
بازیگران مخرب با استفاده از فلگ پرو در مراحل ابتدایی حمله، محیط هدف و شبکه را مورد ارزیابی قرار می دهند و بدافزار مرحله دوم عملیات را دانلود و اجرا می کنند.
زنجیره آلودگی این حمله با ایمیل فیشینگی جعلی آغاز می شود که مهاجمین در آن، خود را به عنوان شریک مورد اعتماد سازمان هدف معرفی می کنند.
این ایمیل حاوی فایل Rar یا زیپی می باشد که دارای پسورد است. این فایل حاوی فایل مایکروسافت اکسلی است که آلوده به ماکروهای مخرب می باشد. اجرای این کد منجبر به ساخت یک فایل اجرا شونده (فلگ پرو) در فهرست راه اندازی سیستم خواهد شد.
فلگ پرو در اجرای اول از طریق HTTP به سرور کنترل و فرمان متصل می شود و به وسیله اجرای دستورات هارد کد شده سیستم عامل، جزئیات ID به دست آمده از سیستم را ارسال می کند.
سرور کنترل و فرمان نیز در پاسخ به این اقدام، فرمان های اضافی دیگر یا پی لودهای مرحله دوم عملیات را به منظور اجرا به فلگ پرو ارسال می کند.
طبق گزارشات، فلگ پرو بیش از یک سال است برای هدف قرار دادن شرکت های ژاپنی مورد استفاده قرار می گیرد. ( دست کم از اکتبر2020)
شرکت هایی که توسط فلگ پرو مورد هدف قرار گرفتند، در بخش های فناوری دفاعی، رسانه و ارتباطات فعالیت دارند.
گروه بلک تک که محققین آن را به کشور چین ارتباط داده اند، شرکت های مستقر در ژاپن، تایوان، هنگ کنگ وکشورهای انگلیسی زبان را مورد هدف قرار می دهند.
