حملات بدافزاری هکرهای مرتبط با حماس علیه رژیم صهیونیستی

به گزارش کارگروه بین‌الملل سایبربان؛ محققان شرکت امنیت سایبری چک پوینت (Check Point) ادعا کردند که یک عامل تهدید وابسته به حماس از نسخه «Rust» یک درب پشتی چندسکویی به نام «SysJoker» برای هدف قرار دادن رژیم صهیونیستی در بحبوحه جنگ غزه استفاده کرده است.

چک پوینت در تحلیلی گفت :

«در میان برجسته‌ترین تغییرات، تغییر به سمت زبان Rust است که نشان می‌دهد کد بدافزار کاملاً بازنویسی شده است، در حالیکه عملکردهای مشابهی دارد. علاوه بر این، عامل تهدید از «OneDrive» به جای گوگل درایو (Google Drive) برای ذخیره URLهای پویای سرور فرماندهی و کنترل (C2) استفاده کرده است.»

SysJoker در ژانویه 2022 توسط «Intezer» به طور عمومی مستند شد و آن را به عنوان یک درب پشتی توصیف کرد که قادر به جمع‌آوری اطلاعات سیستم و برقراری ارتباط با یک سرور کنترل شده از سوی مهاجم با دسترسی به یک فایل متنی میزبانی شده در گوگل درایو است که یک URL با کد سخت دارد.

شرکت محاسبات ابر آمریکایی «VMware» سال گذشته عنوان کرد :

«چندسکویی به نویسندگان بدافزار اجازه می‌دهد تا از آلودگی گسترده در همه پلتفرم‌های اصلی بهره ببرند. SysJoker توانایی اجرای دستورات از راه دور و همچنین دانلود و اجرای بدافزارهای جدید را روی ماشین‌های قربانی دارد.»

کشف یک نوع Rust از SysJoker به تکامل تهدید چندسکویی اشاره می‌کند. 

یکی از تغییرات قابل توجه استفاده از OneDrive برای بازیابی آدرس سرور فرماندهی و کنترل رمزگذاری و کدگذاری شده است که متعاقباً برای استخراج آدرس IP و پورت مورد استفاده تجزیه می‌شود.

چک پوینت اظهار داشت که استفاده از OneDrive به مهاجمان اجازه می‌دهد تا آدرس سرور فرماندهی و کنترل را به راحتی تغییر دهند و به آنها کمک می‌کند تا از خدمات مختلف مبتنی بر شهرت جلوتر باشند. این رفتار در نسخه‌های مختلف SysJoker ثابت می‌ماند.

پس از برقراری ارتباط با سرور، مصنوع در انتظار بارهای اضافی بیشتر است که سپس روی میزبان در معرض خطر اجرا می‌شود.

این شرکت امنیت سایبری ادعا کرد که همچنین 2 نمونه SysJoker را که قبلاً دیده نشده بود برای ویندوز طراحی شده که بسیار پیچیده‌تر هستند که یکی از آنها از یک فرآیند اجرای چند مرحله‌ای برای راه‌اندازی بدافزار استفاده می‌کند.

SysJoker هنوز به طور رسمی به هیچ عامل یا گروه تهدیدی نسبت داده نشده است. اما شواهد تازه جمع‌آوری‌شده نشان می‌دهد که بین درب پشتی و نمونه‌های بدافزار مورد استفاده در ارتباط با عملیات پودر الکتریکی، که به یک کمپین هدفمند علیه سازمان‌های اسرائیلی بین آوریل 2016 و فوریه 2017 استفاده می‌شود، همپوشانی دارند.

این فعالیت از سوی مک‌آفی (McAfee) به یک عامل تهدید وابسته به حماس معروف به «Molerats» نسبت داده شد.

چک پوینت خاطرنشان کرد :

«هر دو کمپین از URL هایی با مضمون API استفاده و دستورات اسکریپت را به شیوه‌ای مشابه اجرا می‌کردند.»