به گزارش کارگروه امنیت سایبربان؛ کارشناسان آزمایشگاه کسپرسکی در گزارشی تازه اعلام کردند بدافزاری به نام پاورپپر (PowerPepper) شناسایی کردهاند که متعلق به گروه هکری دثاستاکر (DeathStalker) بوده و سیستمعامل ویندوز را هدف قرار میدهد.
بر طبق گزارش این آزمایشگاه، پاورپپر یک در پشتی پیچیده است که امکان اجرای از راه دور دستورات شل از طریق سرور فرماندهی و کنترل را میدهد.
محققان کسپرسکی نخستین بار در ماه می 2020 نسخه جدید این بدافزار را شناسایی کردند. از آن زمان تاکنون پاورپپر قابلیتهای زیادی کسب کرده است.
نسخههای جدید پاورپپر میتوانند حرکت موس را ردگیری کرده و آدرسهای مک قربانی را فیلتر کنند و با بهرهگیری از ابزارهای پیشرفته مانع از تجزیهوتحلیل کارشناسان امنیت سایبری شوند.
اپراتورهای این بدافزار که بنا به گفته محققان کسپرسکی، اعضای گروه هکری دثاستاکر هستند از سال 2012 اقدام به جاسوسی سایبری علیه شرکتهای حقوقی و مالی و صاحبان کسبوکارهای کوچک و متوسط کردهاند.
کارشناسان کسپرسکی از سال 2018 فعالیت این گروه را رصد کرده و معتقدند دثاستاکر عملیات خود را گسترش داده و همچنان از تکنیکها و روشهای اثربخش در حمله استفاده میکند.
گروه دثاستاکر در مرحله نخست حمله، ایمیلهای فیشینگ حاوی آرشیوی از فایلهای مخرب به کارکنان شرکتهای هدف ارسال میکند.
هنگامیکه کاربران روی فایل و میانبر LNK کلیک میکنند، یک اسکریپت مخرب به اجرا درآمده و بدافزاری بارگیری میشود و مهاجمان از طریق آن سیستمهای قربانی را در اختیار میگیرند.
دثاستاکر از ابزارهای مخربی همچون پاورسینگ (Powersing)، اویلنوم (Evilnum) و جانیکاب (Janicab) نیز بهره میگیرد.
پاورسینگ ایمپلنتی مبتنی بر پاورشل بوده و امکان گرفتن اسکرینشات در سیستمهای آلوده و اجرای اسکریپت پاورشل را فراهم میسازد. آنتیویروسها بهسختی میتوانند این بدافزار را شناسایی کنند.
مهاجمان پیش از انجام حمله، به کمک پاورسینگ امکان انجام فعالیتهای پنهان در سیستم را چک کرده و سپس اسکریپتهای لازم را بر اساس نتایج بررسی خود بهروزرسانی میکنند.
آنها در شبکههای اجتماعی معتبر، سرویسهای وبلاگ نویسی و پیامرسانها بهاصطلاح ریسولورها و اطلاعات رمزگذاری شده مرتبط با مراکز فرماندهی و کنترل بارگذاری میکنند تا بتوانند بهسرعت و نامحسوس عملیات مخرب خود را انجام دهند.
برای این منظور هکرها از Google+ ،Imgur ،Reddit ،ShockChan ،Tumblr ،Twitter ،YouTube و WordPress استفاده میکنند. همه این اقدامات شناسایی سرورهای فرماندهی و کنترل واقعی را سخت و پیچیده میسازد.
