حمله هکرهای روسی به سازمان‌های دفاعی و دولتی اوکراین

به گزارش کارگروه حملات سایبری سایبربان؛ گروه اطلاعات تهدید گوگل (GTIG) ادعا کرد که یک گروه تهدید پایدار پیشرفته (APT) جدید، ظاهراً مرتبط با روسیه، گروه‌های دفاعی، دولتی و انرژی اوکراین را در سطوح منطقه‌ای و ملی با بدافزار «CANFAIL» هدف قرار داد.

محققان گروه اطلاعات تهدید گوگل مشاهده کردند که اطلاعات روسیه در حال انجام کمپین‌های فیشینگ برای ارائه بدافزار CANFAIL است؛ این گروه هکری همچنین به هوافضا، تولیدکنندگان مرتبط با پهپاد، تحقیقات هسته‌ای و گروه‌های بشردوستانه مرتبط با اوکراین علاقه‌مند است. گوگل گزارش داد که گروه تهدید پایدار پیشرفته روسی همچنین نهادهای رومانیایی و مولداوی را نیز مورد بررسی قرار داده است.

در گزارش منتشر شده توسط گوگل آمده است:

«گروه اطلاعات تهدید گوگل اخیراً یک گروه هکری را کشف کرده که مظنون به ارتباط با سرویس‌های اطلاعاتی روسیه است که عملیات‌های فیشینگ را برای ارائه بدافزار CANFAIL در درجه اول علیه سازمان‌های اوکراینی انجام می‌دهد. با وجود اینکه این گروه نسبت به سایر گروه‌های هکری روسی از پیچیدگی و منابع کمتری برخوردار است، اما اخیراً با استفاده از مدل‌های زبانی بزرگ (LLM) شروع به غلبه بر برخی محدودیت‌های فنی کرده است. آنها از طریق تحریک، شناسایی انجام می‌دهند، طعمه‌هایی برای مهندسی اجتماعی ایجاد می‌کنند و به دنبال پاسخ به سوالات فنی اولیه برای فعالیت‌های پس از نفوذ و راه‌اندازی زیرساخت فرماندهی و کنترل (C2) هستند.»

به گفته محققان، اگرچه نسبت به سایر گروه‌های روسی کمتر پیشرفته است، اما از مدل‌های زبانی بزرگ برای ساخت طعمه‌ها، انجام شناسایی و حل وظایف فنی استفاده می‌کند. عوامل تهدید ایمیل‌های فیشینگ را با مدل‌های زبانی بزرگ نوشته‌اند.

پیام‌ها شامل لینک‌های گوگل درایو هستند که میزبان یک آرشیو RAR با بدافزار CANFAIL هستند که اغلب با پسوند دوگانه مانند .pdf.js پنهان شده‌اند. CANFAIL یک جاوا اسکریپت مبهم است که یک اسکریپت پاورشِل (PowerShell) را برای دانلود و اجرای یک «payload» مرحله دوم، معمولاً یک «dropper» فقط حافظه، اجرا می‌کند و در عین حال یک پنجره خطای جعلی به قربانی نشان می‌دهد.

در ادامه این گزارش آمده است:

«ایمیل‌های فیشینگ ارسال‌شده توسط این عامل حاوی یک فریب هستند که بر اساس تجزیه و تحلیل، به نظر می‌رسد توسط مدل‌های زبانی بزرگ تولید شده است، از زبان رسمی و یک الگوی رسمی خاص استفاده می‌کند و پیوندهایی به گوگل درایو دارد که میزبان یک بایگانی RAR حاوی بدافزار CANFAIL است که اغلب با پسوند دوگانه .pdf.js پنهان شده است. CANFAIL یک جاوا اسکریپت مبهم است که یک اسکریپت پاورشِل را برای دانلود و اجرای یک مرحله اضافی اجرا می‌کند که معمولاً یک دراپر پاورشِل فقط حافظه است. علاوه بر این، یک پنجره پاپ‌آپ جعلی خطا را به قربانی نمایش می‌دهد.»

«SentinelLABS» و آزمایشگاه امنیت دیجیتال اوکراین فعالیت‌های مرتبط را در کمپین «PhantomCaptcha» اکتبر 2025 مستند کردند که به طور خلاصه از تاکتیک‌های ClickFix استفاده می‌کرد.

گروه‌های جاسوسی روسیه همچنان با استفاده از فریب‌های با مضمون نظامی و پهپادی، سازمان‌های مرتبط با دفاع اوکراین و غرب را هدف قرار می‌دهند. در زیر برخی از گروه‌هایی که توسط گروه اطلاعات تهدید گوگل مشاهده شده‌اند، آمده است:

• APT44  (Sandworm/FROZENBARENTS)، مرتبط با واحد ۷۴۴۵۵ GRU، به دنبال استخراج داده‌ها از سیگنال و تلگرام بوده است و از ابزارهایی مانند «WAVESIGN» و «INFAMOUSCHISEL» برای سرقت اطلاعات از دستگاه‌های ویندوز و اندروید استفاده کرده است.
• TEMP.Vermin، مرتبط با عوامل مرتبط با LPR، بدافزارهایی مانند «VERMONSTER» و «SPECTRUM» را با استفاده از دامنه‌های با موضوع هوافضا و پهپاد مستقر کرده است.
• UNC5125 واحدهای پهپادی خط مقدم را با فریب‌های Google Forms و بدافزارهایی مانند «MESSYFORK» و «GREYBATTLE» هدف قرار داده است.
• UNC5792 و UNC4221 از ویژگی‌های سیگنال و واتس‌اپ با دعوت‌نامه‌های جعلی به گروه‌ها و صفحات فیشینگ برای ربودن حساب‌ها و استقرار بدافزارهایی از جمله «STALECOOKIE» و «TINYWHALE» سوءاستفاده کرده‌اند.
• UNC5976 کمپین‌های فیشینگ را با فایل‌های مخرب RDP و طعمه‌های با موضوع پهپاد اجرا کرده و شرکت‌های دفاعی جهانی را فریب داده است.
• UNC6096 از واتس‌اپ برای توزیع بدافزارهای ویندوز و اندروید، از جمله GALLGRAB، استفاده کرد.
• UNC5114 بدافزار «CraxsRAT» را در قالب به‌روزرسانی برنامه «Kropyva» منتشر کرد.

محققان در این گزارش خاطرنشان کردند:

«استفاده روسیه از عملیات‌های سایبری در حمایت از اهداف نظامی در جنگ علیه اوکراین و فراتر از آن، چندوجهی است. در سطح تاکتیکی، هدف‌گیری گسترش یافته و علاوه بر سازمان‌ها، افراد را نیز شامل می‌شود تا از عملیات‌های خط مقدم و فراتر از آن پشتیبانی کند، که احتمالاً حداقل تا حدی به دلیل اتکا به فناوری عمومی و آماده به جای محصولات سفارشی است. عوامل تهدید روسی، برنامه‌های پیام‌رسان امن مورد استفاده ارتش اوکراین برای برقراری ارتباط و هماهنگی عملیات‌های نظامی از جمله از طریق تلاش برای استخراج پایگاه‌های داده محلی ذخیره شده این برنامه‌ها، مانند دستگاه‌های تلفن همراه ضبط شده در جریان حمله مداوم روسیه به اوکراین را هدف قرار داده‌اند.»