به گزارش کارگروه بین‌الملل سایبربان؛ تیم واکنش اضطراری کامپیوتری اوکراین (CERT-UA) شرایط حمله سایبری اخیر علیه یک سازمان دولتی را فاش کرده است.
تیم گفت که نقض اولیه در 18 و 20 آوریل 2023 رخ داد، زمانی که ایمیل‌هایی که ظاهراً از سفارت تاجیکستان در اوکراین هستند به‌وسیله آژانس ناشناس دریافت شد. ایمیل‌ها حاوی سندی با یک ماکرو تعبیه‌شده بودند که در متن ایمیل به آن اشاره شده بود و مانند یک پیوست معتبر از یک منبع مطمئن به نظر می‌رسید.
با این حال، تیم واکنش اضطراری کامپیوتری اوکراین بر این باور است که ایمیل رسمی ممکن است قبلاً از سوی عامل تهدید احتمالاً به عنوان بخشی از یک سری حوادث در کشورهای آسیای مرکزی مانند قزاقستان و افغانستان به خطر افتاده باشد.
بارگیری و اجرای ماکرو، سند دوم را با ماکرو دیگری ایجاد کرد که باعث شروع رشته‌ای از دانلودها شد که منجر به نصب بدافزاری روی دستگاه مورد نظر طی چند روز پس از آلودگی اولیه شد.
یک «keylogger» و یک درب پشتی نصب شده بودند که هر 2 به زبان پایتون نوشته شده بودند و کدهای مبهم را درگیر می‌کردند، در حالیکه ابزار مخرب دیگری، حذف داده‌های جمع‌آوری‌شده مانند گزارش‌های کلیدی را مدیریت می‌کرد.
به گفته تیم واکنش اضطراری کامپیوتری اوکراین، عامل تهدید حداقل از سال 2021 مشاهده و با شناسه «UAC-0063» شناخته شده است؛ تیم جزئیات دیگری در مورد هویت این عامل ارائه نکرده است.
«Bitdefender Labs» نقض‌های اولیه احتمالی در آسیای مرکزی را بررسی و تعدادی شاخص پیدا کرده که نشان می‌دهد این گروه مستقر در روسیه است. آنها از نسخه‌های کرک شده مایکروسافت آفیس که در روسیه محبوب هستند و تاکتیک‌های مشابه دیگر گروه‌های معروف طرفدار روسیه استفاده می‌کنند.
خود تاکتیک‌ها مشابه حادثه‌ای بود که به‌وسیله تیم واکنش اضطراری کامپیوتری اوکراین، با یک سند مخرب اولیه که منجر به یک رشته آلودگی بدافزاری طراحی شده برای استخراج داده‌ها شد، گزارش شده بود.
Bitdefender در یکی از پست‌های وبلاگ اخیر خود نوشت :
«یکی از سرنخ‌هایی که به منشأ حمله اشاره می‌کند، استفاده از نسخه کرک شده Microsoft Office 2016 است که در کشورهای روسی زبان معروف به «SPecialisST RePack» یا «Russian RePack by SPecialiST)» است؛ همچنین غیرعادی است که یک درب پشتی مشابه به 2 زبان نوشته شده باشد، این عمل قبلاً در گروه «APT28»، مستقر در روسیه، با درب پشتی «Zebrocy» مشاهده شده بود. براساس ترکیبی از شاخص‌ها، ما این کمپین را با احتمال پایین به گروهی مرتبط با روسیه نسبت می‌دهیم.»
APT28 نامگذاری ماندیانت (Mandiant) برای گروهی است که با نام‌های «Fancy Bear»، «Pawn Storm» و «Strontium» شناخته می‌شوند، بسته به اینکه کدام شرکت امنیتی گزارش را انجام می‌دهد.
بازرس ویژه ایالات متحده از Fancy Bear به عنوان واحد «GRU 26165» یاد می‌کند. کارشناسان ادعا می‌کنند که این گروه حداقل از سال 2007 فعال بوده است.
