Falcon C2 przejmuje przeglądarki przez złośliwy JavaScript na portalach poczty

Unit 42 opisał Falcon (znany też jako XG lub Xiàng Gē), framework C2, który przejmuje przeglądarki ofiar przez złośliwy JavaScript. Atakujący umieszczali ten kod bezpośrednio na portalach poczty webowej i w rządowych aplikacjach internetowych, więc ofiarami stawali się odwiedzający te strony. Falcon działa w całości w przeglądarce: doinstalowuje złośliwe rozszerzenia Chrome, kradnie dane i dostarcza implant Antino, który jako kanał C2 wykorzystuje Microsoft OneDrive. Panel zarządzania Falcon pokazuje pustą stronę, a formularz logowania pojawia się dopiero po trzykrotnym naciśnięciu klawisza F9.

Kogo dotyczy

Unit 42 potwierdził włamania do instytucji rządowych w jednym kraju Bliskiego Wschodu i czterech krajach Azji Południowo-Wschodniej między marcem a majem 2026 roku. Celem były ministerstwa spraw zagranicznych, obrony i spraw wewnętrznych oraz organy ścigania. Według Unit 42 przebieg kampanii wskazuje na zbieranie informacji wywiadowczych.