استفاده هکرهای روس از یک سارق اطلاعات جدید برای حمله سایبری به اوکراین
به گزارش کارگروه حملات سایبری سایبربان؛ گروه هکری روسی به نام 'Nodaria' (UAC-0056) در حال استفاده از بدافزار سارق اطلاعات جدیدی به نام 'Graphiron' (گرَفیرون) برای سرقت اطلاعات از سازمان های مستقر در اوکراین است.
این بدافزار مبتنی بر زبان برنامه نویسی Go می تواند طیف وسیعی از اطلاعات شامل داده های احراز هویت حساب، سیستم و داده های اپلیکیشن را جمع آوری کند. این بدافزار همچنین اقدام به تهیه اسکرین شات و انتقال غیر مجاز داده از دستگاه های در معرض خطر می کند.
تیم تحقیقاتی شرکت سیمَنتِک متوجه شد که گروه Nodaria (نوداریا) دست کم از اکتبر 2022 بدافزار گرفیرون را در حملات خود مورد استفاده قرار می دهد.
گرفیرون متشکل از یک دانلود کننده و یک پی لود سارق اطلاعات ثانویه است.
این دانلود کننده هنگامی که راه اندازی می شود، نرم افزارهای امنیتی متنوع و ابزارهای تحلیل بدافزار را مورد بررسی قرار می دهد و در صورت عدم شناسایی موارد اشاره شده، بخش سارق اطلاعات را دانلود می کند.
برخی از فرآیندهایی که دانلود کننده بررسی می کند شامل BurpSuite، Charles،Fiddler، rpcapd، smsniff، Wireshark، x96dbg، ollydbg و idag می باشد.
این بدافزار برای جا زدن خود به عنوان یک بخش مرتبط با مایکروسافت آفیس در سیستم تحت رخنه، نام هایی مانند OfficeTemplate.exe و MicrosoftOfficeDashboard.exe را مورد استفاده قرار می دهد.
از قابلیت های این بدافزار می توان به موارد زیر اشاره کرد:
- خواندن راهنمای دستگاه
- به دست آوردن نشانی آی پی از https://checkip.amazonaws.com
- بازیابی نام میزبان، اطلاعات سیستم و اطلاعات کاربر
- سرقت داده از فایرفاکس و ساندِر بِرد
- سرقت کلیدهای خصوصی از فایرفاکس MobaXTerm
- سرقت میزبان های شناخته شده پوسته امن
- سرقت داده از PuTTY
- سرقت پسوردهای بایگانی شده
- تهیه اسکرین شات
- ایجاد دایرکتوری
- لیست کردن یک دایرکتوری
- اجرای دستور شِل
- سرقت یک فایل دلخواه
این بدافزار با استفاده از کد پاورشِل اقدام به سرقت گذرواژه از ویندوز Vault می کند. داده های احراز هویت ذخیره شده به شکل رمزنگاری شده AES-256 در این بخش بایگانی شده است.
گرفیرون با استفاده از رمز نگاری AES (استاندارد رمزنگاری پیشرفته) و کلید های هارد کد شده و از طریق پورت 433، با سرور کنترل و فرمان ارتباط برقرار می کند.
نوداریا بازیگر مخربی است که در ژانویه 2022 با استفاده از یک باج افزار جعلی به نام 'WhisperGate' شبکه های اوکراین را مورد حمله قرار داده بود.
معمولا هکرهای روس از طریق ایمیل های فیشینگ هدف دار پی لودهای خود را به اهداف مورد نطر انتقال می دهند و جنگ با اوکراین فرصت های زیادی را برای آن ها به وجود آورده است.
نوداریا در حال حاضر به یکی از بازیگر های اصلی در کمپین های سایبری صورت گرفته علیه اوکراین تبدیل شده است و اطلاعات ارزشمندی را از آن ها به سرقت می برد.
