مرفق من جهة حكومية
بدأ تحقيق Check Point المنشور في مايو 2020 برسالة أُرسلت من سفارة في منطقة آسيا والمحيط الهادئ إلى حكومة ولاية أسترالية. حملت الرسالة ملفًا باسم The Indians Way.doc، لكنه كان مرفقًا خبيثًا يستغل Word لإيصال برنامج آخر. قاد التتبع إلى Aria-body، أداة تحكم عن بُعد ربطها الباحثون بمجموعة Naikon. أعطى المرسل الحكومي الرسالة سياقًا مختلفًا عن البريد غير المرغوب فيه؛ فالجهة المخترقة استطاعت أن تصبح طريقًا نحو جهة أخرى. ومن هذا المرفق المحدد، عاد التحقيق إلى سنوات من البنية والأدوات التي لم تحظ بتغطية علنية واسعة.
العودة إلى بحر الصين الجنوبي
كانت Kaspersky قد وصفت في 2015 نشاطًا كثيفًا للمجموعة حول بحر الصين الجنوبي، مع ارتفاع ملحوظ في ربيع 2014. استهدفت الرسائل جهات حكومية وعسكرية ومدنية، وحملت مستندات تتصل باهتماماتها، بعضها مبني على معلومات مسروقة من أنظمة مخترقة أخرى. عند التشغيل، تظهر وثيقة تمويه بينما تُثبت البرمجية. دعمت الأداة آنذاك عشرات الأوامر التي تسمح بفحص الجهاز ونقل الملفات وتشغيل مكونات إضافية. ورصد الباحثون اختلاف مسار الاتصال بحسب الضحية، أحيانًا مباشرة وأحيانًا عبر خادم وسيط. كانت المنظومة تتكيف مع قيود الشبكة التي تستقر داخلها، ومع المادة التي تهم الجهة المستهدفة.
خادم يظهر لساعات
وعندما حلل فريق Check Point مسار Aria-body، وجد أن خادم تنزيل المرحلة المتقدمة لا يبقى متاحًا طوال اليوم؛ يظهر لساعات محدودة فقط. صعّب ذلك على الباحثين استكمال السلسلة من عينة واحدة في وقت عشوائي. جمع البرنامج معلومات الجهاز قبل استقبال أوامر أخرى، ووجد الفريق مكونات تحميل تعود إلى 2017 ونسخًا من الباب الخلفي تعود إلى 2018. منحت هذه التواريخ جوابًا عن فجوة التقارير بعد 2015: الأدوات كانت تتطور خلال تلك السنوات. وقد ساعد تغير المكونات وتشغيل أجزاء في الذاكرة على إخفاء العلاقة بين العينات القديمة والنشاط الذي بدأ من رسالة السفارة.
باب خلفي ثانٍ للبقاء
في أبريل 2021، أضافت Bitdefender فصلًا من تحقيقها في هجمات على مؤسسات عسكرية بجنوب شرق آسيا بين يونيو 2019 ومارس 2021. رصدت بابًا خلفيًا ثانيًا سمّته Nebulae، أدى دورًا في الاحتفاظ بالوصول، ثم إضافة RainyDay إلى الأدوات المستخدمة منذ سبتمبر 2020. استند الاكتشاف إلى تتبع تحميل مكونات خبيثة بواسطة برامج مشروعة. صار المشهد أوضح: عدة مسارات وبرامج تمنح الحملة فرصة للبقاء عندما يتغير أحدها أو ينكشف. وتوثّق النتائج المنشورة استمرار جمع المعلومات وتبديل الأدوات، بعد أن بددت الرسالة الحكومية افتراض أن قلة الظهور العلني كانت تعني توقف المجموعة.