آغاز هک های مرتبط با بلاروس در اوکراین و لهستان از یک سال پیش

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، بر اساس گزارش جدیدی که توسط شرکت امنیت سایبری سیسکو تالوس (Cisco Talos) منتشر شده است، حداقل از آوریل 2022 تا این ماه، هکرها برای سرقت اطلاعات و دستیابی به دسترسی از راه دور دائمی به دستگاه های قربانیان نفوذ کرده اند.

محققان میزان تأثیر این حملات را فاش نکرده اند.

سیسکو تالوس خاطرنشان می کند که تیم واکنش اضطراری رایانه ای اوکراین (CERT-UA) اخیراً حوادث ژوئیه را به گروه هکری یو ان سی 1151 (UNC1151)، که به گوست رایتر (GhostWriter) نیز معروف است، نسبت داده که با دولت بلاروس مرتبط است.

گزارش تیم واکنش اضطراری رایانه ای اوکراین اطلاعاتی درباره حملات قبل از ژوئیه ارائه نمی کند.

گروه هکری گوست رایتر، قبلا پرسنل نظامی اوکراین و خدمات دولتی لهستان را هدف قرار داده بود.

این گروه عمدتاً عملیات فیشینگ را انجام می دهد که اعتبار ورود به ایمیل را می دزدد، وب سایت ها را در معرض خطر قرار می دهد و بدافزار را توزیع می کند.

در کمپین ردیابی شده توسط سیسکو تالوس، هکرها از یک زنجیره آلوده کننده چند مرحله ای برای ورود به سیستم های اهداف خود استفاده می کرده اند.

به گفته محققان، ابتدا آنها پیوست های ایمیل مخرب مایکروسافت آفیس را ارسال می کرده اند که عمدتاً از فرمت های فایل مایکروسافت اکسل و پاورپوینت استفاده می کرده است.

این فایل‌ها از اسنادی تقلید می‌کرده اند که به نظر می‌رسد از وزارت دفاع اوکراین، وزارت دفاع ملی لهستان، و خدمات خزانه‌داری دولتی اوکراین و غیره ارسال شده‌اند.

به عنوان مثال، برخی از اسناد اکسل شبیه فرم هایی است که برای محاسبه حقوق و دستمزد سربازان یک واحد نظامی خاص استفاده می شود.

مشاغل اوکراینی و لهستانی و کاربران عمومی هدف صفحات گسترده مخرب اکسل قرار گرفته اند که به عنوان فرم های اظهارنامه مالیات بر ارزش افزوده (VAT) ظاهر می شده است.

فایل های پاورپوینت هنگام باز شدن هیچ اسلاید واقعی را نشان نمی دهند، اما همچنان کد مخرب را اجرا می کنند.

محققان معتقدند که استفاده هکرها از فایل‌های پاورپوینت نشان می‌دهد که آنها در حال آزمایش فرمت‌های فایلی هستند که کمتر در حملات استفاده می‌شوند.

مرحله بعدی حمله، استقرار بدافزار دانلود کننده به نام پیکاسو لودر (PicassoLoader) است که بارهای نهایی را راه اندازی می کند، از جمله تروجان دسترسی از راه دور (RAT) ایجنت تسلا (AgentTesla)، فانوس دریایی کوبالت استرایک (Cobalt Strike) و تروجان دیگری به نام ان جی رت (njRAT).

به گفته محققان، از این محموله ها برای سرقت اطلاعات و دسترسی از راه دور به سیستم های آلوده استفاده می شود.