ارتقاء بدافزار میستری اسنیل توسط هکرهای چینی

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، این گروه در قالب مجموعه‌ای از حملات سایبری پیچیده، نهادهای دولتی در روسیه و مغولستان را هدف قرار داده است.

بدافزار میستری اسنیل (MysterySnail) به‌روزشده که در جریان بررسی نفوذهای اخیر کشف شد، از طریق یک اسکریپت مخرب MMC که به‌عنوان فایل ورد (Word) جعلی پنهان شده، منتشر می‌شود.

پس از اجرا، این اسکریپت بارهای مخرب بیشتری را دانلود کرده و دسترسی ماندگار روی سیستم‌های آلوده برقرار می‌کند.

یکی از اجزای کلیدی در این حملات، یک در پشتی واسطه‌ای (intermediary backdoor) است که انتقال فایل بین سرورهای فرماندهی و کنترل هکرها (C2) و دستگاه‌های آلوده را ممکن می‌سازد.

این در پشتی همچنین امکان اجرای دستورات، ایجاد فرایندهای جدید، حذف فایل‌ها و سایر اقدامات مخرب را فراهم می‌کند.

پژوهشگران اعلام کرده‌اند که در داده‌های تله‌متری خود، ردپای مشخص بدافزار میستری اسنیل را که اولین بار در سال ۲۰۲۱ کشف شد، شناسایی کرده‌اند.

در حملات اخیر، بدافزار به‌گونه‌ای پیکربندی شده بود که به‌عنوان یک سرویس، به‌صورت مداوم روی سیستم‌های قربانی فعال باقی بماند.

پس از متوقف‌سازی این نفوذها، مهاجمان به‌سرعت نسخه سبک‌تری از میستری اسنیل را جایگزین کردند که میستری مونو اسنیل (MysteryMonoSnail) نام دارد.

این نسخه ساده‌شده تنها از یک مؤلفه تشکیل شده، اما همچنان قابلیت‌های اصلی نسخه قبلی را حفظ کرده است، از جمله: مدیریت سرویس‌ها، اجرای دستورات شِل، ایجاد یا خاتمه‌دادن فرایندها، و دستکاری فایل‌ها.

بدافزار میستری اسنیل برای نخستین بار نزدیک به چهار سال پیش در کارزارهای جاسوسی علیه اهداف روسی و مغولی، از جمله پیمانکاران نظامی و نهادهای دیپلماتیک، کشف شد.

مهاجمان در آن زمان با بهره‌گیری از آسیب‌پذیری‌های پیشرفته‌ای نظیر آسیب‌پذیری درایور هسته ویندوز (CVE-2021-40449) به سیستم‌ها نفوذ می‌کردند.

گروه آیرن هاسکی (IronHusky) از سال ۲۰۱۷ در حال ردیابی است؛ سالی که آن‌ها برای نخستین‌بار نهادهای دولتی روسیه و مغولستان را برای جمع‌آوری اطلاعات حساس، به‌ویژه درباره مذاکرات نظامی دوجانبه، هدف قرار دادند.

آن‌ها در طول این سال‌ها تاکتیک‌های خود را توسعه داده و با بهره‌گیری از آسیب‌پذیری‌هایی نظیر نقص حافظه در مایکروسافت آفیس (CVE-2017-11882) انواع تروجان‌های دسترسی از راه دور (RAT) مانند پویزن آیوی (PoisonIvy) و پلاگ ایکس (PlugX) را مورد استفاده قرار داده‌اند.

آخرین نسخه میستری اسنیل بار دیگر نشان‌دهنده تهدید دائمی گروه‌های تهدید پیشرفته پایدار (APT) است، به‌ویژه آن‌هایی که بر جاسوسی و جمع‌آوری اطلاعات تمرکز دارند.