
Tietoturvayritys Check Point Research on paljastanut Silver Dragon -nimisen kybervakoiluryhmän, joka kohdistaa hyökkäyksiä hallituksiin Kaakkois-Aasiassa ja Euroopassa. Tutkijoiden mukaan ryhmä on suurella varmuudella Kiinaan kytkeytyvä ja todennäköisesti osa APT41 -kokonaisuutta.
Ryhmän toimintamalli on selkeä. Se murtautuu organisaatioihin hyödyntämällä internetiin avoimia palvelimia tai kohdennettuja phishing-viestejä. Sisään päästyään hyökkääjät asentavat omia lataajiaan, jotka lopulta tuovat järjestelmään Cobalt Strike -etähallintatyökalun.
Silver Dragon ei kuitenkaan jätä jälkeensä ilmeistä haittaohjelmapalvelua. Sen sijaan se kaappaa Windowsin laillisia järjestelmäpalveluita, kuten Windows Updateen, Bluetoothiin ja .NET-komponentteihin liittyviä palveluita. Haitallinen koodi ajetaan näiden nimissä, jolloin toiminta näyttää normaalilta käyttöjärjestelmäliikenteeltä.
Erityisen poikkeuksellista on komentoliikenne. GearDoor-niminen takaovi käyttää Google Drive -pilvipalvelua C2-kanavana. Jokaiselle saastuneelle koneelle luodaan oma kansio, jonka kautta komennot ja varastettu data siirtyvät tavallisten tiedostojen muodossa. Koska Google Driven liikenne on yleensä sallittua, viestintä sulautuu normaaliin pilvikäyttöön
Lisäksi ryhmä käyttää omia työkalujaan näytön kaappaamiseen ja etäkomentojen ajamiseen. Tavoitteena ei ole nopea häirintä vaan pitkäaikainen, huomaamaton tiedustelu.
Silver Dragon kuvastaa laajempaa trendiä: hyökkääjät eivät enää rakenna omaa näkyvää infrastruktuuria, vaan piiloutuvat käyttöjärjestelmän ydintoimintoihin ja yleisesti luotettuihin pilvipalveluihin.






















