به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، این شرکت نام سازمان هدف را اعلام نکرد، اما بیان کرد که حمله احتمالاً توسط یک گروه تهدید چینی انجام شده است، زیرا برخی از ابزارهای استفادهشده در این حمله پیشتر با مهاجمان چینی مرتبط بودهاند.
پژوهشگران سیمانتک افزودند:
اگرچه احتمال دارد نفوذ به شبکه زودتر رخ داده باشد، اما اولین شواهد از فعالیت مهاجم به آوریل 2024 بازمیگردد و این فعالیت مخرب تا اوت 2024 ادامه داشته است.
آنها توضیح دادند که مهاجمان در شبکه سازمان حرکت کرده و چندین کامپیوتر را آلوده کردند.
برخی از اهداف، سرورهای اکسچنج (Exchange) بودند که نشان میدهد مهاجمان از طریق جمعآوری ایمیلها به دنبال کسب اطلاعات بودهاند.
ابزارهای استخراج داده نیز به کار گرفته شدند که حاکی از سرقت دادههای هدفمند از سازمان است.
گزارش همچنین اشاره میکند که این سازمان سال گذشته نیز هدف حملهای از سوی گروه هکری دگرفلای (Daggerfly) قرار گرفته بود؛ یک گروه تحت حمایت دولت چین که در حملاتی علیه سازمانهایی در تایوان، یک شرکت مخابراتی در آفریقا، و یک سازمان غیردولتی بینالمللی فعال در دو استان چین نقش داشته است.
گروه دگرفلای که حداقل از سال 2012 فعال بوده، فعالیتهای جاسوسی علیه افراد و نهادهای دولتی در سرزمین اصلی چین، هنگکنگ، نیجریه، میانمار، فیلیپین، تایوان و ویتنام انجام میدهد.
یک فایل استفادهشده در این حملات که توسط سیمانتک شناسایی شد، پیشتر در حملات گروه جاسوسی مستقر در چین به نام کریمسان پالاس (Crimson Palace) علیه سازمانهای جنوب شرق آسیا دیده شده بود.
سیمانتک اعلام کرد که مهاجمان از چندین برنامه قانونی برای بارگذاری بدافزار استفاده کردهاند؛ از جمله ابزارهایی که توسط گوگل و اپل ساخته شدهاند.
اولین شواهد از فعالیت مخرب در 11 آوریل 2024 ظاهر شد، اما سیمانتک فعالیت در دو کامپیوتر دیگر را در 2 ژوئن شناسایی کرد.
کامپیوتر چهارم در 5 ژوئن و یک دستگاه دیگر در 13 ژوئن آلوده شدند.
چندین کارشناس امنیت سایبری عنوان کردند که جنبههای فنی گزارش نشاندهنده این است که مهاجمان مدرن، مهارتهای پیچیده خود را با استفاده از برنامههای روزمره کسبوکار ترکیب میکنند تا از شناسایی جلوگیری کنند.
استفان کووسکی، مدیر فناوری میدانی در شرکت امنیت ایمیل اسلش نکست (SlashNext Email Security) تاکید کرد:
مدت طولانی این حمله، الگوی نگرانکنندهای را نشان میدهد که در آن مهاجمان بهصورت سیستماتیک اطلاعات را جمعآوری کرده و دسترسی پایدار ایجاد میکنند که همین امر میتواند زمینه را برای حملات فیشینگ هدفمند یا مهندسی اجتماعی پیچیده در آینده فراهم کند. تمرکز بر سرورهای اکسچنج و جمعآوری ایمیل نشاندهنده یک عملیات استراتژیک برای جمعآوری اطلاعات است که هدف آن درک روابط تجاری، ارتباطات داخلی و نقاط فشار احتمالی است.
