به گزارش کارگروه حملات سایبری سایبربان؛ یک گروه هکری متمرکز بر جاسوسی چینی به نام 'Earth Lusca' آژانس های دولتی فعال در چندین کشور دنیا را با استفاده از یک در پشتی لینوکسی جدید به نام 'SprySOCKS' هدف قرار داده است.
بررسی های صورت گرفته توسط شرکت ترند میکرو بر روی این در پشتی جدید نشان می دهد که این بدافزار، نشات گرفته از یک بدافزار متن باز ویندوز به نام Trochilus است. بنابراین بسیاری از قابلیت های آن، بر روی سیستم های لینوکسی قابل اجراست.
اگرچه، ظاهرا این بدافزار ترکیبی از چندین بدافزار دیگر است چرا که پروتکل ارتباطی سرور کنترل و فرمان 'SprySOCKS' شباهت زیادی با در پشتی ویندوزی رِدلیوز دارد.
گروه هکری Earth Lusca (اِرس لوسکا) فعالیت زیادی را در نیمه اول سال از خود نشان داد و نهادهای دولتی مهم متمرکز بر روی حوزه های امور خارجه، فناوری و مخابرات را در جنوب شرق آسیا، آسیای مرکزی، کشورهای حوزه بالکان (بالکان شرقیترین و بزرگترین شبه جزیره بزرگ جنوب اروپا است. هیچ توافق جهانی در مورد کشورهای عضو منطقه بالکان وجود ندارد. بالکان معمولاً متشکل از کشورهای آلبانی، بوسنی و هرزگوین، بلغارستان، کرواسی، کوزوو، مونته نگرو، مقدونیه شمالی، رومانی، صربستان و اسلوونی است که تمام یا بخشی از هر یک از این کشورها در این شبه جزیره واقع شدهاند. بخشهایی از یونان و ترکیه نیز در منطقه جغرافیایی بالکان قرار دارند) و... مورد هدف قرار داده است.
طبق گزارش ترند میکرو ارس لوسکا بین سال های 2019 تا 2022 با سوء استفاده از نقص های امنیتی و اجرای راه دور کد اقدام به بهره برداری های متعدد از سیستم های هدف کرده است. این موضوع توانسته نقاط انتهایی در معرض اینترنت قرار گرفته را تحت الشعاع قرار دهد.
هکرها با بهره برداری از نقص های امنیتی اقدام به رها سازی بیکن های کوبالت استرایک بر روی شبکه های تحت رخنه قرار گرفته می کنند و دسترسی راه دوری را به آن ها به دست می آورند. هکرها سپس با استفاده از این دسترسی ضمن حرکت جانبی در شبکه، اقدام به انتقال غیر مجاز فایل ها، سرقت داده های احراز هویت حساب ها و اجرای پی لودهای اضافی دیگر می کنند.
در پشتی SprySOCKS از چارچوب شبکه کارآمدی به نام 'HP-Socket' نیز برای انجام عملیات های خود استفاده می کند.
از جمله قابلیت های اصلی این در پشتی جدید می توان به موارد زیر اشاره کرد:
- جمع آوری مجموعه اطلاعات سیستم مانند حافظه یا نشانی آی پی
- لیست کردن ارتباطات شبکه
- مدیریت پیکربندی های ساکس پراکسی
- شروع یک شِل تعاملی که از زیرسیستم PTY استفاده می کند
- اجرای امور ابتدایی مرتبط با فایل ها مانند آپلود، دانلود و حذف
ترند میکرو در گزارش خود به دو نمونه از بدافزار نام برده اشاره کرد. این موضوع نشان از توسعه فعال این بدافزار دارد.
