به گزارش کارگروه بین‌الملل سایبربان؛ کارشناسان اعلام کردند که یک گروه هکری نسبتاً ناشناخته چندین سازمان در امارات متحده عربی از جمله سازمان‌های بخش‌های هوانوردی، ارتباطات ماهواره‌ای و زیرساخت‌های مهم حمل‌ونقل را با درب پشتی تازه کشف‌شده‌ای موسوم به سوسانو (Sosano) هدف قرار داد.
به گفته شرکت امنیت سایبری پروف‌پوینت (Proofpoint) مستقر در ایالات متحده، گروهی تحت عنوان «UNK_CraftyCamel» در یک کمپین جاسوسی از یک حساب ایمیل در معرض خطر متعلق به شرکت الکترونیک هندی «INDIC Electronics» برای ارسال پیام‌های ایمیل مخرب به قربانیان خود استفاده کرد.
پروف‌پوینت ادعا کرد که این کمپین احتمالاً کار گروه هکری همسو با ایران و احتمالاً وابسته به سپاه پاسداران انقلاب اسلامی است.
جاشوا میلر (Joshua Miller)، محقق پروف‌پوینت، در اظهارنظری مدعی شد:
«بخش‌های هدف قرار گرفته برای ثبات اقتصادی و امنیت ملی مهم هستند و درنتیجه به اهداف اطلاعاتی ارزشمندی در چشم‌انداز ژئوپلیتیکی گسترده‌تر تبدیل شده‌اند. امارات تمایل دارد با عربستان سعودی، رقیب ایران، همسو شود.»
بنابر ادعای این شرکت آمریکایی، تاکتیک‌های مورد استفاده UNK_CraftyCamel مشابه تاکتیک‌های گروه‌های هکری «TA451» و «TA455» است. هر 2 گروه قبلاً سازمان‌های مرتبط با هوافضا را هدف قرار داده‌اند و از فریب‌های تجاری مشابه در حملات مستقر در امارات استفاده کرده‌اند. با این حال، پروف‌پوینت UNK_CraftyCamel را یک گروه تهدید متمایز می‌داند.
پروف‌پوینت ادعا کرد که هکرها قربانیان خود را به سمت دامنه‌ای هدایت می‌کنند که ظاهراً وب‌سایت شرکت هندی در یک رابطه تجاری قابل اعتماد برای اهداف است. این دامنه میزبان یک آرشیو زیپ حاوی فایل‌های اجرایی بود که درب پشتی سفارشی سوسانو را نصب می‌کرد که می‌تواند بارگذاری مرحله بعدی را دانلود و اجرا کند.
به گفته محققان، این حمله بسیار سفارشی‌شده بود و هر هدف پیام‌های مخرب شخصی‌سازی شده را دریافت می‌کرد. پروف‌پوینت جزئیات زیادی در مورد سازمان‌های آسیب دیده یا میزان موفقیت حملات ارائه نکرد.
محققان عنوان کردند:
«این کمپین نمونه‌ای از سوءاستفاده عوامل تهدید از روابط قابل اعتماد است تا بدافزارهای سفارشی شده و مبهم را به اهداف بسیار انتخابی تحویل دهند. با به خطر انداختن تأمین کنندگان یا شرکایی که به طور منظم با اهداف خود در تعامل هستند، مهاجمان می‌توانند روش‌های تشخیص سنتی را دور بزنند و خطرات زنجیره تأمین را آغاز کنند.»
میلر اظهار داشت:
«این تهدید نشان می‌دهد که عوامل همسو با دولت تا چه اندازه می‌خواهند از شناسایی فرار کنند و مأموریت‌های جمع‌آوری اطلاعاتی خود را با موفقیت انجام دهند.»
اوایل ماه نوامبر سال قبل، محققان مدعی کشف یک کمپین جاسوسی دیگر شدند و ادعا کردند که در آن هکرهای ایرانی هویت استخدام کنندگان در لینکدین را برای هدف قرار دادن صنعت هوافضا جعل کردند. این کمپین به «TA455» به عنوان زیرمجموعه گروه هکری دولتی ایران به نام «Charming Kitten» نسبت داده شد.
ماندیانت (Mandiant) متعلق به گوگل نیز در تحقیقات قبلی خود اعلام کرد که هکرهای ایرانی مظنون قبلاً صنایع هوافضا، هوانوردی و دفاعی رژیم صهیونیستی، امارات متحده عربی و احتمالاً ترکیه، هند و آلبانی را هدف قرار داده‌اند.
