استفاده از اعلان جعلی بروزرسانی ویندوز برای هدف قرار دادن دولت اوکراین

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، تیم واکنش اضطراری رایانه ای اوکراین معتقد است که گروه هکری دولتی روسیه به نام APT28 که معروف به فنسی بر (Fancy Bear) نیز می باشد، این ایمیل‌ها را ارسال کرده و هویت مدیران سیستم نهادهای دولتی اوکراین را جعل کرده است تا فریب دادن اهداف خود را آسان‌تر کند.
برای این منظور، مهاجمان آدرس‌های ایمیل @outlook.com را با استفاده از نام‌های واقعی کارکنان که از طریق ابزارهای ناشناخته در مراحل آماده‌سازی حمله به دست آمده‌اند، ایجاد کرده اند.
به جای دستورالعمل های قانونی در مورد ارتقاء سیستم های ویندوز، ایمیل های مخرب به گیرندگان توصیه می کنند که یک فرمان پاورشل (PowerShell) را اجرا کنند.
این دستور یک اسکریپت پاورشل را روی رایانه دانلود کرده و فرآیند به‌روزرسانی ویندوز را در حالی که در مرحله دوم پاورشل را در پس‌زمینه دانلود می‌کند، شبیه‌سازی می‌کند.
مرحله دوم، یک ابزار جمع‌آوری اطلاعات اولیه است که از دستورات «فهرست وظایف» و «سیستم اطلاعات» برای جمع‌آوری داده‌ها و ارسال آنها به یک ای پی آی (API) سرویس ماکی (Mocky) از طریق درخواست HTTP سوء استفاده می‌کند.
ماکی یک برنامه قانونی است که به کاربران کمک می کند تا پاسخ های HTTP سفارشی تولید کنند، که APT28 در این مورد برای استخراج داده ها از آن سوء استفاده می کند.
تیم واکنش اضطراری رایانه ای اوکراین توصیه می‌کند که مدیران سیستم توانایی راه‌اندازی پاورشل را در رایانه‌های مهم و نظارت بر ترافیک شبکه برای اتصال به ای پی آی سرویس ماکی، محدود کنند.

حملات APT28 به اوکراین
گروه تحلیل تهدیدات گوگل اخیرا گزارش داده است که تقریباً 60 درصد از ایمیل‌های فیشینگ که اوکراین را در سه ماهه اول سال 2023 هدف قرار می‌دهند، از عوامل تهدید روسی سرچشمه می‌گیرند و APT28 را به عنوان یکی از عوامل اصلی این فعالیت مخرب برجسته می‌کند.
در اوایل ماه، سرویس‌های اطلاعاتی ایالات متحده و انگلستان و سیسکو در مورد سوء استفاده فعال APT28 از نقص روز صفر که روترهای این شرکت را تحت تأثیر قرار می‌دهد، برای استقرار بدافزاری به نام دندان جگوار (Jaguar Tooth) برای جمع‌آوری اطلاعات از اهداف مستقر در ایالات متحده و اتحادیه اروپا هشدار دادند.
در مارس 2023، مایکروسافت یک آسیب‌پذیری روز صفر اوت لوک (Outlook) را تحت عنوان CVE-2023-23397 بروز کرد، که APT28 از آوریل 2022 برای نفوذ به شبکه‌های سازمان‌های دولتی، نظامی، انرژی و حمل‌ونقل اروپایی از آن بهره‌برداری می کرده است.
جالب اینجاست که هکرهای چینی نیز از به روز رسانی های ویندوز به عنوان عامل فریب برای حذف فایل های اجرایی مخرب در حملات علیه سازمان های دولتی روسیه در سال گذشته استفاده کرده اند.