به گزارش کارگروه بین‌الملل سایبریان؛ گزارش منتشر شده از سوی «Cybereason» به سطح جدیدی از عمق در درک چگونگی هک موفقیت‌آمیز ده‌ها مؤسسه دولتی و خصوصی اسرائیلی و مؤسسه‌های بزرگ در سایر کشورهای رقیب از سوی ایران و گروه‌های حامی آن در سال گذشته اشاره کرده است.
براساس ادعای این شرکت امنیت سایبری، هدف حملات ایرانیان ترکیبی از تلاش برای جاسوسی، سرقت اطلاعات حساس و ایجاد خسارات گسترده و هرج و مرج در سرزمین‌های اشغالی بوده است.
در این گزارش، که بر گروه عصای موسی (Moses Staff) متمرکز شده، آمده است که فهرست قربانیان سایبری شامل اسرائیل، ایتالیا، هند، آلمان، شیلی، ترکیه، امارات و ایالات متحده است.
شرکت در گزارش خود مدعی شد :
«در ماه‌های گذشته، تیم «Cybereason Nocturnus»، گروه هکرهای ایرانی موسوم به عصای موسی را ردیابی کرده است. این گروه برای اولین بار در اکتبر 2021 مشاهده شد و ادعا می‌کند که انگیزه آنها آسیب رساندن به شرکت‌های اسرائیلی از طریق افشای اطلاعات حساس و دزدیده شده است.»
وبگاه اسرائیلی اورشلیم پست (Jerusalem Post) در گفتگو با چندین مقام فعلی و سابق اداره سایبری lgd اسرائیل (INCD)، شین‌بت (آژانس امنیت اسرائیل) و واحد 8200 ارتش رژیم صهیونیستی اعلام کرد که نوآوری اصلی عصای موسی کمتر در مورد تکنیک‌های مورد استفاده و بیشتر در مورد تحقیق و اکتشاف عمیق برای یافتن بخش‌هایی از محیط دیجیتالی اسرائیل بوده که از دفاع ضعیفی برخوردارند؛ علاوه بر این، گروه هکری صنایع مختلفی از جمله دولتی، امور مالی، سفر، انرژی، تولید و صنعت آب و برق را هدف قرار می‌دهد.
طبق گزارش Cybereason، به نظر می‌رسد اهداف هکرهای عصای موسی با دکترین جنگ سایبری ایران، به‌دنبال خرابکاری در سازمان‌های دولتی، نظامی و غیرنظامی مرتبط با مخالفان ژئوپلیتیکی تهران، همسو باشد.
برخلاف گروه‌های جنایتکار سایبری که از باج‌افزار برای وادار کردن قربانیان خود به پرداخت هزینه باج استفاده می‌کنند، کارشناسان غربی معتقدند که این گروه هکری اطلاعات حساس را بدون درخواست باج منتشر می‌کند و اهداف آنها سیاسی است.
در گزارش شرکت آمده است :
«ظهور نمونه‌های بدافزار جدید «PyDyrcypt» نشان می‌دهد که گروه ایرانی هکری عصای موسی همچنان فعال است و به فعالیت‌های شرورانه و توسعه حملات سایبری خود ادامه می‌دهد.»
به دنبال انتشار اخیر جزئیات تاکتیک‌ها، تکنیک‌ها و رویه‌های گروه هکری، از جمله ابزارهای اصلی آنها، «PyDcrypt» و «DCSrv»، تیم Cybereason Nocturnus یک تروجان دسترسی از راه دور (RAT)، که قبلاً شناسایی نشده بود، را در زرادخانه عصای موسی کشف کرد که «StrifeWater» نام داشت. به گفته Cybereason، به نظر می‌رسد که این تروجان در مرحله اولیه حمله استفاده می‌شود و تروجان دسترسی از راه دور مخفی این توانایی را دارد که خود را از سیستم حذف کند تا مسیرهای گروه ایرانی را بپوشاند. در مرحله بعد، RAT دارای قابلیت‌های دیگری از جمله تصویربرداری از صفحه اجرای فرماندهی و توانایی دانلود افزونه‌های اضافی است.
بنابر ادعای کارشناسان شرکت سایبری، تروجان‌ها سال‌ها برای اهداف هک مورد استفاده قرار می‌گرفتند، اما عصای موسی سخت تلاش کرده‌اند تا این تروجان‌های طراحی شده برای آسیب رساندن به مؤسسات اسرائیلی با دفاع ضعیف را توسعه دهند.
بسیاری از گروه‌ها هنگام نفوذ به سازمان و سرقت داده‌های حساس، باج‌افزار را برای رمزگذاری ماشین‌های آلوده مستقر می‌کنند. طبق ادعای کارشناسان، بر خلاف گروه‌های باج‌افزاری جرایم سایبری با انگیزه مالی، که فایل‌ها را به‌عنوان اهرمی برای پرداخت باج رمزگذاری می‌کنند، رمزگذاری فایل‌ها در حملات این گروه هکری 2 هدف را دنبال می‌کند : ایجاد خسارت از طریق ایجاد اختلال در عملیات‌های تجاری حیاتی و پوشاندن مسیرهای مهاجمان.
Cybereason در گزارش خود ادعا کرد :
«به نظر می رسد هدف نهایی برای عصای موسی بیشتر انگیزه سیاسی دارد تا مالی. رفتار و عملیات این گروه حاکی از آن است که از جاسوسی و خرابکاری سایبری برای پیشبرد اهداف ژئوپلیتیکی ایران با وارد کردن آسیب و گسترش ترس استفاده می‌کند. مشاهده شد که تروجان دسترسی از راه دور StrifeWaterدر محیط‌های آلوده تحت نام «calc.exe» مستقر شده است.»
در ادامه گزارش آمده است که یکی از سرنخ‌های کلیدی که منجر به کشف این تروجان شد، از تجزیه و تحلیل نوع جدیدی از بدافزار PyDCrypt مورد استفاده گروه هکری عصای موسی برای رها کردن بار «DCSrv»، یک نوع باج‌افزار مبتنی بر ابزار در دسترس عموم DiskCryptor، به دست آمد.
گنجاندن اطلاعات رمزگذاری شده سخت به عنوان بخشی از بدافزار PyDCrypt نشان می‌دهد که بدافزار تنها در مرحله آخر حمله پس از به خطر افتادن محیط و تلاش‌های شناسایی کافی برای ترسیم محیط هدف مستقر می‌شود. در عین حال، کالکالیست گزارش داد که این گروه هکری داده‌های شرکت دفاعی رافائل را هک کرده است.
گزارش کالکالیست در مورد اینکه آیا اطلاعات در واقع اطلاعات حساس سیستم دفاع موشکی گنبد آهنین و سایر سیستم‌های تسلیحاتی است یا اطلاعات طبقه‌بندی‌نشده‌ای بود که عصای موسی سعی داشت آنها را به‌صورت محرمانه ارائه کند، مشخص نبود. اما خود رافائل ادعا کرد که این یک حادثه مجزا شامل اطلاعات غیرمحرمانه در شبکه خارجی شرکت است.
سال گذشته، عصای موسی موفق به هک کردن داده‌های صنایع هوافضای اسرائیل شد، اما در آن زمان هیچ بیانیه شفافی صادر نکرد، هرچند شرکت‌های اسرائیلی در گزارش‌های بعدی خود مدعی شدند که هیچ اطلاعات حساسی هک نشده است.
