حمله فیشینگ هکرهای روسی به دیپلمات‌های اوکراینی

به گزارش کارگروه حملات سایبری سایبربان؛ تحلیل جدید محققان واحد 42 شبکه‌های پالو آلتو (Palo Alto) نشان می‌دهد که یک باند سایبری وابسته به دولت روسیه از فروش قانونی یک خودروی بی‌ام‌دبلیو (BMW) برای هدف قرار دادن دیپلمات‌ها در کیِف، اوکراین استفاده کرده است.

کمپین جدید فیشینگ به‌وسیله گروه « Ursa Cloaked»، با نام مستعار «Cozy Bear»، «APT29» انجام شد که ایالات متحده و بریتانیا علناً آن را به سرویس اطلاعات خارجی روسیه (SVR) نسبت دادند.

این کمپین حداقل 22 سفارت از بیش از 80 سفارت خارجی در کیِف را هدف قرار داد که به گفته محققان، عددی «واقعاً شگفت‌انگیز» است؛ کمپین حول یک آگهی ایمیل قانونی از یک دیپلمات در وزارت امور خارجه لهستان به سفارتخانه‌های مختلف بود. این آگهی فروش یک سدان سری 5 بی‌ام‌دبلیو کارکرده واقع در کیِف، با فایل پیوستی با عنوان «BMW 5» برای فروش در کیِف را تبلیغ کرد.

محققان خاطرنشان کردند که در دسترس بودن یک خودروی قابل اعتماد از یک دیپلمات مورد اعتماد، با توجه به دشواری‌های ترتیب دادن حمل و نقل و سایر کالاها به اوکراین در شرایط کنونی، توجه تازه واردان به منطقه را جلب می‌کند.

این احتمال وجود دارد که Cloaked Ursa پس از به خطر انداختن یکی از سرورهای ایمیل گیرنده ایمیل، بروشور قانونی را مشاهده کرده و فرصتی برای تغییر کاربری در قالب یک فریب فیشینگ دیده است.

در 4 می 2023، این باند با استفاده از اسناد مایکروسافت وُرد به همین نام، نسخه غیرقانونی خود از بروشور را به چندین نمایندگی دیپلماتیک در سراسر کیِف ارسال کرد.

با این حال، اگر گیرنده‌ای روی پیوندی کلیک کند که عکس‌های باکیفیت‌تر را ارائه می‌کند، به یک سایت قانونی هدایت می‌شود که به‌وسیله Cloaked Ursa ساخته شده است. هنگامی که قربانی سعی می‌کند عکس‌ها را مشاهده کند، یک بار مخرب به صورت بی‌صدا در پس زمینه اجرا می‌شود، در حالیکه تصویر روی صفحه نمایش او نمایش داده می‌شود.

این گروه از آدرس‌های ایمیل سفارت در دسترس عموم برای دستیابی به حدود 80 درصد از اهداف استفاده می‌کرد و 20 درصد باقی‌مانده شامل آدرس‌های ایمیل منتشر نشده که در سطح وب یافت نمی‌شوند.

اکثریت به صندوق‌های ورودی عمومی سفارت فرستاده شدند، اما تعداد کمی مستقیماً به آدرس‌های کاری افراد فرستاده شدند.

هیچ اطلاعاتی درباره میزان موفقیت این کمپین در آلوده کردن دیپلمات‌های هدف وجود ندارد. با این حال، محققان معتقدند که تعداد سفارت‌خانه‌های هدف از نظر دامنه عملیات‌های APT با محدوده محدود و مخفیانه بسیار خیره‌کننده است.

ارزیابی شبکه‌های پالو آلتو مبنی بر اینکه گروه هکری مسئول کمپین است براساس عوامل زیر است :

محققان گفتند که کمپین BMW نشان می‌دهد که مأموریت‌های دیپلماتیک یک هدف جاسوسی با ارزش برای دولت روسیه در به دست آوردن اطلاعات در مورد اوکراین و متحدانش است.

در این وبلاگ آمده است :

«دیپلمات‌ها باید قدردانی کنند که APTها به طور مداوم رویکردهای خود را از طریق مواردی نظیر اسپیر فیشینگ (spear phishing) تغییر می‌دهند تا کارایی خود را افزایش دهند. آنها از هر فرصتی برای ترغیب قربانیان به سازش استفاده خواهند کرد. اوکراین و متحدانش باید مراقب خطر جاسوسی سایبری باشند تا از امنیت و محرمانه بودن اطلاعات خود اطمینان حاصل کنند.»

در ماه ژوئیه سال جاری تحقیقات بلک‌بری نشان داد که عامل تهدید «RomCom» یک کمپین سایبری هدفمند را با هدف سازمان‌ها و افراد حامی اوکراین تنها چند روز قبل از اجلاس سران ناتو راه‌اندازی کرد.