به گزارش کارگروه حملات سایبری سایبربان؛ گروه هکری APT37 با استفاده از یک بدافزار تهاجمی جدید به نام 'M2RAT' و پنهان نگاری، افراد را به منظور جمع آوری اطلاعات حساس مورد هدف قرار می دهد.
گروه APT37 (به نام های RedEyes و ScarCruf نیز شناخته می شود) یک گروه جاسوسی سایبری اهل کره شمالی است که از سوی دولت این کشور نیز پشتیبانی می شود.
گروه هکری نام برده پیش از این، آسیب پذیری های روز صفر اینترنت اکسپلورِر را تحت بهره برداری قرار می داده و طیف وسیعی از بدافزار را در حمله به نهادها و افراد مورد استفاده قرار داده است.
به عنوان مثال، این بازیگران مخرب سازمان های وابسته به اتحادیه اروپا را با نسخه جدیدی از در پشتی موبایلی به نام دلفین و خبرنگاران آمریکایی را با بدافزاری به نام Goldbackdoor مورد هدف قرار داده است.
طبق گزارش جدید منتشر شده توسط مرکز امنیتی AhnLab، گروه APT37 در حال حاضر از بدافزار جدیدی به نام 'M2RAT' استفاده می کند که ردی بسیار کمی را از خود در دستگاه آلوده بجای می گذارد.
این حملات اخیر در ژانویه 2023 و در هنگامی آغاز شد که این گروه هکری ایمیل های فیشینگ حاوی یک فایل ضمیمه مخرب را به اهداف خود ارسال کرد.
باز کردن این فایل ضمیمه به بهره برداری از یک آسیب پذیری EPS قدیمی به نام CVE-2017-8291 می انجامد. این کد مخرب موجب اجرای شل کد بر روی کامپیوتر قربانی و اجرای کد مخرب در یک تصویر JPEG می شود. این تصویر JPG با استفاده از تکنیک پنهان نگاری مجوز مخفی سازی کد در فایل ها را صادر می کند و ضمن معرفی مخفیانه فایل اجرا شونده M2RAT در سیستم، آن را در "explorer.exe." تزریق می کند.
این در پشتی M2RAT به عنوان یک تروجان دسترسی اولیه عمل می کند که به اجرای کی لاگینگ، سرقت داده، اجرای فرمان و تهیه اسکرین شات از دسکتاپ می پردازد.
این بدافزار از فرمان های زیر پشتیبانی می کند:
- انتقال ماژول های اضافی مانند ماژول نشت داده تلفن همراه
- نوشتن، خواندن، ایجاد و تغییر زمان فایل
- تایید لیست فرآیند
- اجرای فرآیند با استفاده از رابط کاربری اپلیکیشن ShellExecuteExW
- نشت داده های کی لاگینگ
- نشت داده USB
بدافزار نام برده اطلاعات را از دستگاه آلوده جمع آوری و آن را برای بازبینی به سرور کنترل و فرمان مهاجمین ارسال می کند.
این بدافزار همچنین می تواند دستگاه های متصل به کامپیوتر ویندوز مانند تلفن های هوشمند یا تبلت ها را اسکن و محتوای آنها (مثل اسناد و فایل های صوتی ضبط شده) را به منظور انتقال غیر مجاز به سرور مهاجم، در کامپیوتر کپی کند.
پیش از انتقال، داده های سرقت شده را در یک فایل RAR فشرده سازی می کند و نسخه کپی آن را به منظور کاهش شانس شناسایی از حافظه حذف می کند.
در مجموع، APT37 به تازه سازی بدافزار و مجموعه ابزارهای خود ادامه می دهد.
