تهدید سایبری دیپلمات‌های آذربایجان و رژیم صهیونیستی

به گزارش کارگروه حملات سایبری سایبربان؛ یک عامل تهدید ناشناخته آذربایجان و رژیم صهیونیستی را با هدف سرقت اطلاعات حساس هدف قرار داد.

کمپین حمله، که توسط «NSFOCUS» در اول ژوئیه امسال شناسایی شد، از ایمیل‌های اسپیر فیشینگ برای شناسایی دیپلمات‌های آذربایجانی و اسرائیلی استفاده کرد. این گروه هکری با نام مستعار «Actor240524» پیگیری شد.

این شرکت امنیت سایبری در تحلیلی که هفته گذشته منتشر شد، گفت :

«Actor240524 دارای توانایی سرقت اسرار و تغییر داده‌های فایل، با استفاده از انواع اقدامات متقابل برای جلوگیری از قرار گرفتن بیش از حد در معرض تاکتیک‌ها و تکنیک‌های حمله است.»

زنجیره‌های حمله با استفاده از ایمیل‌های فیشینگ حاوی اسناد مایکروسافت ورد آغاز می‌شوند که پس از باز کردن، گیرندگان را به «فعال کردن محتوا» ترغیب و یک ماکرو مخرب را اجرا می‌کنند که مسئول اجرای یک بار لودر میانی با نام رمز ABCloader («MicrosoftWordUpdater.log») است.

در مرحله بعدی، «ABCloader» به عنوان مجرای برای رمزگشایی و بارگذاری یک بدافزار «DLL» به نام ABCsync ("synchronize.dll") عمل می‌کند که سپس با یک سرور راه دور ("185.23.253[.]143") برای دریافت و اجرای دستورات ارتباط برقرار می‌کند.

NSFOCUS عنوان کرد :

«عملکرد اصلی آن تعیین محیط در حال اجرا، رمزگشایی برنامه و بارگذاری DLL بعدی (ABCsync) است. سپس تکنیک‌های مختلف ضد سندباکس و ضد آنالیز را برای تشخیص محیطی انجام می‌دهد.»

برخی عملکردهای برجسته ABCsync عبارتند از اجرای پوسته‌های راه دور، اجرای دستورات با استفاده از «cmd.exe» و استخراج اطلاعات سیستم و سایر داده‌ها.

ABCloader و ABCsync هر دو با استفاده از تکنیک‌هایی مانند رمزگذاری رشته‌ای برای پنهان کردن مسیرهای فایل مهم، نام فایل‌ها، کلیدها، پیام‌های خطا و آدرس‌های فرماندهی و کنترل (C2) مشاهده شده‌اند. آنها همچنین چندین بررسی را برای تعیین اینکه آیا فرآیندها در یک ماشین مجازی یا جعبه سندباکس با اعتبارسنجی وضوح صفحه نمایش اشکال زدایی یا اجرا می‌شوند انجام می‌دهند.

یکی دیگر از اقدامات مهم Actor240524 این است که بررسی می‌کند که آیا تعداد پردازش‌های در حال اجرا در سیستم در معرض خطر کمتر از 200 است یا خیر و اگر چنین باشد، از فرآیند مخرب خارج می‌شود.

ABCloader همچنین برای راه‌اندازی یک لودر مشابه به نام «synchronize.exe» و یک فایل DLL به نام «vcruntime190.dll» یا «vcruntime220.dll» طراحی شده که قادر به راه‌اندازی «Persistence» در هاست هستند.

شرکت گفت :

«آذربایجان و اسرائیل متحد هستند و تبادلات اقتصادی و سیاسی نزدیکی دارند. عملیات Actor240524 این بار احتمالاً با هدف روابط همکاری و هدف قرار دادن حملات فیشینگ علیه پرسنل دیپلماتیک دو طرف است.»