ادعای جاسوسی سایبری کره شمالی، از روسیه
به گزارش کارگروه بینالملل سایبربان؛ محققان امنیتی در شرکت «Check Point» یک کمپین جاسوسی سایبری کشف کردند که بهوسیله گروه «Lazarus APT» با اهدافی در روسیه اجرا شده بود. اگر ادعای مطرح شده، درست باشد، این اولین باری است که جاسوسان سایبری کره شمالی، نهادهای روسیه را هدف قرار میدهند.
متخصصان شرکت بالا، در تجزیهوتحلیل خود اعلام کردند:
برای اولین بار، ما شاهد حمله هماهنگ کره شمالی، علیه نهادهای روسیه بودیم. با وجود سخت بودن تخصیص یک حمله به گروه تهدید خاص، یا دیگران، واکاوی ما نشان دهنده ارتباطات ذاتی میان تاکتیکها، تکنیکها و ابزارهای استفاده شده ازسوی گروه «APT» کره شمالی، لازاروس است.
کارشناسان معتقدند که حملات ازسوی «Bluenoroff»، یک عامل مخاطره آمیز و جزئی از گروه تهدید لازاروس با انگیزه مالی انجام شدهاند.
Bluenoroffis، یکی از فعالترین گروهها برای حمله علیه نهادهای مالی است که تلاش کرد بر قربانیان مختلف در چندین منطقه و شرکت تجاری در بنگلادش در سال 2014 و 81 میلیون دلار درحال حاضر از حساب بانک مرکزی بنگلادش در بانک پشتیبان فدرال نیویورک تأثیر بگذارد. آخرین سوء استفاده در این کمپین، «KEYMARBLE» پنهانی بود که از یک سرور در قالب فایل «CAB» با تغییر به یک فایل تصویری دانلود شد.
سرور استفاده شده ازسوی عوامل تهدید، مرتبط با یک وبسایت نامشخص برای بخش اطلاعات شرکت نفت جنوبی بود. این سرور در شرکت خدمات اینترنت و ارتباطات «EarthLink»، در عراق وجود دارد.
زنجیره تأثیر مورد استفاده در این کمپین، شامل 3 مرحله اولیه است:
• اولین مورد، یک فایل «ZIP» پیوست شده، با «PDF» فریبنده و یک سند بهصورت وُرد شامل ماکروهای مخرب است. یکی از اسناد دروغین مشاهده شده در این کمپین، حاوی «NDA» برای فناوریهای «StarForce» یک شرکت روسی است که راهحلهای حفاظت از کپی را فراهم میکند.
• ماکروهای موجود در اسناد «Word»، یک اسکریپت «VBS» از «Drobox URL» دانلود و یک اسکریپت VBS را اجرا میکنند.
• VBS، یک پرونده CAB را از سرور به خطر افتاده دانلود و اجرا و سپس آن را خلاصه میکند.
در برخی موارد در کمپین، مهاجمان رزم آرایی را تغییر دادند و شروع به فرار از مرحله دوم، با بهره گیری از ماکروی وُرد کردند؛ تا مستقیماً آن را دانلود و اجرا میکند.
دلیل جاسوسی کره شمالی، از نهادهای روسیه
کارشناسان بر این باورند که با توجه به روابط خوب بین 2 کشور، گفتن این مسئله، بسیار سخت است؛ اما احتمال حضور یک عامل سوم، با پوشش پرچم دروغین، وجود دارد.
