Китайский вендор, военный контракт и один странный GitHub-репозиторий
Китайский вендор, военный контракт и один странный GitHub-репозиторий Расследование Cyberpress связало китайскую компанию Guangdong Chanming Technology с инфраструктурой RedRelay. Цепочка забавная и вполне тянет на детектив на Нетфликсе. Началось все с открытых данных. Компания запатентовала софт с кричащими названиями вроде «анонимная сеть», а потом нашлась закупка на сайте PLA — поставили ту самую «анонимную сеть» военным в Пекине. Уже интересно, но пока вроде все еще стандартно. Дальше был найден архивный Github-проект FCN (Free Connect), привязанный к почте одного из директоров. Код вел на домен xfconnect.com, а бинарник оттуда на VirusTotal оказался почти близнецом файла stn.exe, который фигурирует в отчетах как часть вредоносной активности. А самый смак, что уникальная Linux-команда в коде совпала с той, что используют в кампаниях Whipweave (она же ORBWEAVER), которую уже давно связывают с RedRelay. Выводы оставляйте себе, но факты намекают на то, что open-source может быть не только бесплатным, но и неожиданно полезным для атрибуции. Особенно когда разработчики забывают убрать свои следы. Китайские специалисты, судя по всему, тоже любят повторно использовать код, только вот цели у них специфические. @antiinfosec