به گزارش کارگروه بین‌الملل سایبربان؛ به گفته محققان شرکت امنیت سایبری کسپرسکی (Kaspersky)، یک گروه هکری کمتر شناخته شده از بدافزار سفارشی برای سرقت فایل‌های حساس از درایوهای فلش متصل به رایانه‌های روسی استفاده می‌کند.
این گروه که توسط کسپرسکی با نام «Goffee» شناخته می‌شود، ابزاری به نام «PowerModul» را به کار گرفته که شامل اجزایی است که به طور خاص برای هدف قرار دادن رسانه‌های قابل جابه‌جایی طراحی شده‌اند.
یکی از این مؤلفه‌ها به نام «FlashFileGrabber»، فایل‌ها را از درایوهای فلش می‌دزدد یا درایوهای یواس‌بی را برای یافتن اسناد اسکن و بی‌صدا آنها را روی یک دیسک محلی کپی می‌کند. دیگری موسوم به «USB Worm»، بدافزار PowerModul را با آلوده کردن هر فلش درایو متصل منتشر می‌کند.
کسپرسکی گفت که این ابزارها بخشی از یک کمپین گسترده‌تر جاسوسی سایبری هستند که حداقل از سال 2022 فعال بوده و رسانه‌ها و شرکت‌های مخابراتی روسیه، سازمان‌های دولتی، شرکت‌های ساختمانی و ارائه‌دهندگان انرژی را هدف قرار می‌دهد.
Goffee همچنین به عنوان «Paper Werewolf» ردیابی می‌شود و تاکنون تنها توسط شرکت‌های امنیت سایبری روسی از جمله «BI.ZONE» توصیف شده است.
این شرکت امنیت سایبری اظهار داشت که آخرین فعالیت گروه هکری از ژوئیه تا دسامبر 2024 بوده و با معرفی PowerModul تغییری در تاکتیک‌ها به وجود آمده است: یک درب پشتی که می‌تواند اسکریپت‌های اضافی را از یک سرور راه دور دریافت و اجرا کند.
در ابتدا تصور می‌شد که PowerModul فقط یک لودر ثانویه برای ایمپلنت دیگری به نام «PowerTaskel» باشد، اما محققان اکنون آن را یک ابزار مستقل می‌دانند زیرا از زیرساخت فرماندهی و کنترل منحصر به فرد خود استفاده می‌کند.
کسپرسکی و BI.ZONE اعلام کردند که هکرها معمولاً از ایمیل‌های فیشینگ با آرشیوهای مخرب استفاده می‌کنند. این ایمیل‌ها اغلب هویت مؤسسات معروف روسیه، از جمله سازمان‌های قانونی و نهادهای نظارتی را جعل می‌کنند. پیوست‌ها معمولاً حاوی فایل‌های اجرایی هستند که به صورت اسناد پی‌دی‌اف یا وُرد مبدل شده‌اند.
به گفته کارشناسان، اگرچه جاسوسی هدف اصلی است Goffee است، اما BI.ZONE حداقل به یک مورد اشاره کرد که در آن مهاجمان عملیات در یک شبکه در معرض خطر را مختل کردند.
بین ماه می 2022 و اواسط سال 2023، این گروه همچنین از نسخه اصلاح شده درپشتی «Owowa» استفاده کرد، یک بدافزار سرقت اعتبار که سرورهای «Outlook Web Access» را هدف قرار می‌دهد.
در‌حالی‌که بدافزار Owowa ممکن است توسط یک عامل تهدید چینی زبان ایجاد شده باشد، محققان به طور عمومی این کمپین را به چین نسبت نداده‌اند.
