شناسایی گروه هکری Cloud Atlas توسط کارشناسان آزمایشگاه کسپرسکی

به‌طورکلی این گروه، از سال 2018، از تاکتیک و بدافزاری بهره می‌گیرد که اثربخشی خود را ثابت کرده است و همچنان از ایمیل‌های فیشینگ برای به دام انداختن قربانیان بزرگ استفاده می‌کند. این ایمیل‌ها دارای اسناد آفیس (Office) هستند که در آن‌ها از الگوهای مخرب کنترل از راه دور که در سرورهای کنترل از راه دور قرار دارند، استفاده می‌شود. کارشناسان آزمایشگاه به همراه همکاران خود از شرکت امنیتی Palo Alto Networks به این تاکتیک گروه Cloud Atlas پی برده‌اند.

این گروه بدافزار PowerShower خود را بلافاصله پس از اکسپلویت آسیب‌پذیری‌های CVE-2017-11882 و CVE-2018-0802 به کار گرفت و طی ماه‌های اخیر زنجیره آلوده‌سازی را تغییر داده و بدافزار HTA، ایمپلنت چندوجهی VBS و VBShower نیز در ترکیب آن وارد کرد. ایمپلنت چندوجهی VBS برای اجرای PowerShower و درب پشتی ماژولی مرحله دوم آلودگی که پنج سال پیش توسط محققان تشریح شده و از آن زمان تغییر نکرده است، اختصاص‌یافته است. پیش از به‌کارگیری بوت لودرهای مرحله دوم آلودگی، VBShower کلیه شواهد وجود بدافزار در سیستم را از بین برده و فایل‌های موجود در %APPDATA%\..\Local\Temporary Internet Files\Content.Word و %APPDATA%\..\Local Settings\Temporary Internet Files\Content.Word\ را حذف می‌کند. برنامه HTML و ماژول VBShower چندوجهی بوده و کدهای آن‌ها همیشه منحصربه‌فرد هستند. این امر تشخیص حملات را برای شناساگرها بسیار دشوار می‌سازد. درنهایت، زنجیره جدید آلودگی به‌صورت زیر نمایان می‌شود:

Aime کارشناس آنتی‌ویروس آزمایشگاه کاسپرسکی می‌گوید:

شناساگرهایی که کارشناسان امنیت سایبری ارائه می‌کنند این امکان را می‌دهند سایر قربانیان، به‌سرعت حملات را تشخیص داده و اقدامات لازم را انجام دهند. اگرچه این رویکرد در عمل 100 درصد تضمین نمی‌دهد، چراکه عملیات گروه ProjectSauron در سال 2016 که در آن برای هر قربانی ابزارهای جدیدی طراحی‌شده بود، شناساگرها نتوانستند تشخیص دهند. در حال حاضر مهاجمان از بدافزارهای چندوجهی استفاده کرده و ابزارهای خود را به‌سرعت توسعه می‌دهند. بنابراین، مبارزان با جرائم سایبری نیز می‌بایست دانش و مهارت و ابزارهای خود را به‌سرعت و یا سریع‌تر از مجرمان سایبری توسعه دهند تا بتوانند با آن‌ها به مقابله بپردازند.