به گزارش کارگروه بین‌الملل سایبربان؛ کارشناسان معتقدند که بخش‌های آموزش عالی و فناوری رژیم صهیونیستی هدف حملات سایبری مخرب قرار گرفته‌اند که در ژانویه 2023 با هدف استقرار بدافزار پاک‌کن انجام شدند.
به گفته محققان، این نفوذها که اخیراً در اکتبر امسال رخ دادند، به یک گروه هکری ایرانی موسوم به «Agonizing Serpens»، با نام‌های دیگر آگریوس (Agrius)، «BlackShadow» و «Pink Sandstorm» (قبلاً Americium)، نسبت داده شدند.
واحد 42 شبکه‌های پالو آلتو در گزارش جدیدی ادعا کرد :
«این حملات با تلاش برای سرقت داده‌های حساس، مانند اطلاعات شناسایی شخصی (PII) و مالکیت معنوی، شناسایی شدند. زمانی که مهاجمان اطلاعات را دزدیدند، پاک‌کن‌های مختلفی را برای پوشاندن مسیرهای مهاجمان و غیرقابل استفاده کردن نقاط انتهایی آلوده به کار گرفتند.»
بنابر ادعای کارشناسان، حملات شامل 3 پاک‌کن جدید مانند «MultiLayer»، «PartialWasher» و «BFG Agonizer» و همچنین یک ابزار سفارشی برای استخراج اطلاعات از سرورهای پایگاه داده معروف به «Sqlextractor» است.
کارشناسان مدعی شدند که از دسامبر 2020، Agonizing Serpens با حملات پاک‌کن که نهادهای رژیم غاصب را هدف قرار می‌دهند، مرتبط بوده است. در اوایل ماه می سال جاری، شرکت امنیت سایبری چک پوینت (Check Point) جزئیاتی را منتشر و ادعا کرد که این جزئیات، استفاده گروه هکری از گونه باج‌افزاری به نام «Moneybird» در حملاتی است که رژیم صهیونیستی را هدف قرار می‌دهد.
محققان اظهار داشتند که جدیدترین مجموعه حملات مستلزم تسلیح کردن سرورهای وب آسیب‌پذیر به‌عنوان مسیرهای دسترسی اولیه برای استقرار پوسته‌های وب و انجام شناسایی شبکه‌های قربانی و سرقت اعتبار کاربران با امتیازات اداری است.
به گفته محققان، مرحله حرکت جانبی با استخراج داده‌ها با استفاده از ترکیبی از ابزارهای عمومی و سفارشی مانند Sqlextractor، WinSCP و PuTTY دنبال می‌شود و در نهایت بدافزار پاک‌کن را تحویل می‌دهد.
• MultiLayer، یک بدافزار دات‌نت است که فایل‌ها را برای حذف یا خراب کردن آنها با داده‌های تصادفی برمی‌شمارد تا در برابر تلاش‌های بازیابی مقاومت و با پاک کردن بخش بوت، سیستم را غیرقابل استفاده کند.
• PartialWasher، یک بدافزار مبتنی بر C++ برای اسکن درایوها و پاک کردن پوشه‌های مشخص شده و زیرپوشه‌های آن است.
• BFG Agonizer، بدافزاری به شدت متکی به یک پروژه منبع باز به نام CRYLINE-v5.0 است.
پیوندهای آگریوس از همپوشانی کدهای متعدد با خانواده‌های بدافزار دیگر مانند «Apostle»، «IPsec Helper» و «Fantasy» ناشی می‌شوند که قبلاً توسط این گروه استفاده شده است.
محققان واحد 42 ادعا کردند :
«به نظر می‌رسد که گروه تهدید مداوم پیشرفته Agonizing Serpens اخیراً قابلیت‌های خود را ارتقا داده‌اند و تلاش‌ها و منابع زیادی را برای دور زدن EDR و سایر اقدامات امنیتی سرمایه‌گذاری می‌کنند. برای انجام این کار، آنها بین استفاده از ابزارهای مختلف اثبات مفهوم (PoC) و پنتستینگ و همچنین ابزارهای سفارشی در حال چرخش بوده‌اند.»
