حمله هکرهای پاکستانی با ایمیل جعلی به دولت هند

به گزارش کارگروه حملات سایبری سایبربان؛ یک کمپین فیشینگ پیچیده که توسط عوامل تهدید مرتبط با پاکستان سازماندهی شده بود، با جعل هویت سرویس‌های ایمیل مرکز ملی انفورماتیک، نهادهای دولتی هند را هدف قرار می‌داد.

این عملیات که به «APT36» نسبت داده شد و با نام «TransparentTribe» نیز شناخته می‌شود، از تاکتیک‌های مهندسی اجتماعی برای به خطر انداختن زیرساخت‌های حساس دولتی از طریق ارتباطات ایمیلی فریبنده استفاده می‌کند که به گونه‌ای طراحی شده‌اند که به عنوان مکاتبات قانونی خدمات ایمیل مرکز ملی انفورماتیک (NIC) به نظر برسند.

این کمپین از فریب‌های فیشینگ با دقت طراحی شده‌ای استفاده می‌کند که کانال‌های ارتباطی رسمی دولتی را تقلید و از اعتماد مرتبط با زیرساخت ایمیل مرکز ملی انفورماتیک سوءاستفاده می‌کنند.

با جا زدن خود به عنوان مکاتبات معتبر دولتی، عوامل تهدید قصد دارند مقامات را برای افشای اعتبارنامه‌ها یا دانلود فایل‌های مخرب فریب دهند.

این استراتژی هدف‌گیری، درک عمیق این گروه از پروتکل‌های ارتباطی دولت هند و تمرکز مداوم آنها بر عملیات‌های جمع‌آوری اطلاعات علیه بخش‌های اداری و دفاعی هند را نشان می‌دهد.

تحلیلگران تیم سایبری، زیرساخت‌های مخرب پشتیبان این کمپین را شناسایی و شبکه‌ای از دامنه‌های جعلی و سرورهای فرماندهی و کنترل را کشف کردند که برای تسهیل برداشت اعتبارنامه‌ها و استخراج داده‌ها طراحی شده‌اند.

کارشناسان معتقدند که این عملیات نشان دهنده ادامه فعالیت‌های جاسوسی طولانی مدت APT36 علیه اهداف دولتی هند و نشان‌دهنده علاقه مداوم این گروه به به خطر انداختن ارتباطات حساس دولتی است.

زیرساخت و شاخص‌های فنی

زیرساخت حمله، یک چارچوب فرماندهی و کنترل چند لایه را نشان می‌دهد که حول دامنه جعلی accounts.mgovcloud[.]in.departmentofdefence[.]live متمرکز شده و به دقت سرویس‌های ابری دولتی قانونی را تقلید می‌کند.

دامنه مخرب اصلی departmentofdefence[.]live به عنوان پایه و اساس عملیات فیشینگ عمل می‌کند، در حالی که آدرس IP 81.180.93[.]5 به عنوان یک سرور مخفی با قابلیت فرماندهی و کنترل عمل می‌کند که از طریق پورت 8080 قابل دسترسی است.

زیرساخت اضافی شامل IP 45.141.59[.]168 است که افزونگی و انعطاف‌پذیری را برای شبکه فرماندهی و کنترل دشمن فراهم می‌کند. این تنظیمات پیچیده، عاملان تهدید را قادر می‌سازد تا دسترسی مداوم خود را حفظ کنند و در عین حال از طریق یک زیرساخت توزیع‌شده از شناسایی شدن بگریزند که تلاش‌های مربوط به شناسایی و حذف را پیچیده می‌کند.