هدف قرار گرفتن پناهنده های کره شمالی، نهادهای کره جنوبی و خبرنگاران توسط یک جاسوس افزار جدید

به گزارش کارگروه حملات سایبری سایبربان؛ پناهنده های اهل کره شمالی، خبرنگارانی که اخبار مرتبط با کره شمالی را پوشش می دهند و نهادهای مستقر در کره جنوبی توسط یک گروه APT مورد هدف قرار گرفته اند.

شرکت امنیت سایبری روس کسپرسکی این حملات را به یک گروه هکری اهل کره شمالی به نام ScarCruft ارتباط داده است. از دیگر نام های این گروه می توان به APT37، Reaper Group، InkSquid و Ricochet Chollima اشاره کرد. 

طبق گزارشات، این گروه از 3 نوع بدافزار با کارکردهای مشابه استفاده می کند:

• نسخه های اجرا شده در پاور شل
• ورژن های قابل اجرا در ویندوز
• اپلیکیشن های اندرویدی

اگر چه این بدافزارها برای پلتفرم های مختلف مورد استفاده قرار می گیرند اما مبتنی بر ارتباط HTTP دارای شکل های کنترل و فرمان مشابهی هستند. بنابراین عاملین بدافزار می توانند با استفاده از یک مجموعه از اسکریپت های کنترل و فرمان، کل این خانواده بدافزاری را کنترل کنند.

APT37 که دست کم از سال 2012 فعالیت دارد، واحد های عمومی و خصوصی مستقر در کره جنوبی را با هدف جمع آوری اطلاعات حساس بایگانی شده در سیستم های نا ایمن هدف قرار می دهد. استفاده این گروه از در پشتی مبتنی بر ویندوزی به نام RokRAT تایید شده است. 

APT37 در مرحله اول آلوده سازی، از حملات فیشینگ هدف دار استفاده می کند. بازیگر مخرب ایمیلی را به هدف ارسال می کند که حاوی یک سند آلوده می باشد. در آگوست 2021 مشخص شد که بازیگر مخرب با استفاده از دو کد مخرب موجود در مرورگر وب اینترنت اکسپلورر، قربانیان را با استفاده از ایمپلنتی به نام BLUELIGHT آلوده می کند. بازیگران مخرب این کار از طریق حمله گودال آب علیه روزنامه های آنلاین کره جنوبی صورت می پذیرد. 

در یکی دیگر از تکنیک هایی که توسط محققین GReAT پرده برداری شد، بازیگران مخرب پیش از استفاده از بدافزاری به نام Chinotto در اواخر آگوست، کنترل دستگاه و استخراج اطلاعات حساس، دو ماه مشغول جمع آوری اسکرین شات بین آگوست و سپتامبر بودند. 

نسخه اندرویدی Chinotto از طریق حملات فیشینگ پیامکی به دریافت کنندگان ارسال می شود و کاربران را مجبور به اعطای طیف وسیعی از مجوزهای دسترسی می کند. در این صورت، اطلاعاتی مانند لیست مخاطبین، پیام ها، تماس ها، اطلاعات دستگاه، فایل ضبط شده صوتی و داده های بایگانی شده در اپلیکیشن هایی مانند هوآوی درایو، Tencent WeChat و KakaoTalk جمع آوری خواهد شد.

بسیاری از خبرنگاران، پناهنده ها و فعالین حقوق بشر هدف حملات سایبری پیچیده قرار می گیرند.