ارسال احضاریه‌های جعلی برای هک بخش‌های دولتی اوکراین

به گزارش کارگروه حملات سایبری سایبربان؛ محققان معتقدند که هکرها در یک کمپین جدید جاسوسی سایبری، ایمیل‌های احضاریه جعلی را که ظاهراً از دادگاه‌های اوکراین ارسال شده‌اند، برای هدف قرار دادن دولت، ارتش و بخش دفاعی این کشور ارسال می‌کنند.

مقامات امنیت سایبری اوکراین پیش از این اعلام کرده بودند که مهاجمان پشت این کمپین، که توسط تیم واکنش اضطراری رایانه‌ای اوکراین (CERT-UA) با نام «UAC-0099» ردیابی می‌شوند، حداقل از سال 2022 در این کشور فعال بوده‌اند و به ده‌ها رایانه محلی دسترسی غیرمجاز از راه دور پیدا کرده‌اند.

در آخرین عملیات، هکرها ایمیل‌های فیشینگ را در پوشش احضاریه‌های دادگاه ارسال کردند. این پیام‌ها شامل پیوندهایی به پلتفرم‌های اشتراک‌گذاری فایل قانونی بودند که فایل‌های بایگانی همراه با بدافزار را تحویل می‌دادند.

بدافزار اصلی مورد استفاده در این کمپین، «Matchboil» نام دارد، داده‌های سیستم را جمع‌آوری می‌کند و ابزارهای مخرب دیگری را به کار می‌گیرد، از جمله «Matchwok»، یک در پشتی که امکان اجرای دستور از راه دور را فراهم و «Dragstare»، یک دزد که داده‌های مرورگر مانند رمزهای عبور، کوکی‌ها و فایل‌های دسکتاپ را استخراج می‌کند.

تیم واکنش اضطراری رایانه‌ای اوکراین فاش نکرد که چه تعداد سیستم تحت تأثیر قرار گرفته‌اند یا حجم داده‌های به خطر افتاده چقدر بوده است. اگرچه این آژانس حملات را به یک کشور خاص نسبت نداد، اما تاکتیک‌ها و الگوهای هدف‌گیری شبیه عملیات‌های قبلی هکرهای روسی است.

آژانس سایبری اوکراین پیش از این UAC-0099 را به موجی از حملات در اواخر سال 2024 که ادارات جنگلداری، مؤسسات پزشکی قانونی و تأسیسات صنعتی را هدف قرار می‌داد، مرتبط کرده بود. در آن زمان، این گروه از یک گونه بدافزار متفاوت به نام «Lonepage» استفاده می‌کرد که اکنون به نظر می‌رسد در عملیات‌های جدیدتر با Matchboil جایگزین شده است.

محققان گفتند:

«تغییر در تاکتیک‌ها، تکنیک‌ها، رویه‌ها و ابزارها نشان دهنده ماهیت در حال تحول و مداوم تهدید سایبری است.»

گزارش‌های تیم واکنش اضطراری رایانه‌ای اوکراین معمولاً جزئیات فنی محدودی ارائه می‌دهند، اما دیدگاه‌های نادری در مورد عملیات‌های سایبری جاری در بحبوحه درگیری گسترده‌تر بین اوکراین و روسیه ارائه می‌دهند.

در افشاگری‌های قبلی، این آژانس هشدار داد که هکرها سازندگان پهپاد و مؤسسات دولتی اوکراین را جعل هویت کرده‌اند تا سیستم‌های نظامی و دولتی را با بدافزار سرقت داده‌ها آلوده کنند. کمپین دیگری که در ماه ژوئن امسال مشاهده شد، شامل بدافزاری مرتبط با سرویس اطلاعات نظامی روسیه بود که از طریق برنامه پیام‌رسان سیگنال (Signal) ارائه می‌شد.