هشدار گوگل درمورد جایگزینی بدافزارهای لو رفته

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، در گزارشی که روز سه‌شنبه منتشر شد، تیم اطلاعات تهدیدات گوگل اعلام کرد هکرهای مرتبط با مسکو که همچنین با نام‌های استار بلیزارد (Star Blizzard)، کالیستو (Callisto) و یو ان سی 4057 (UNC4057) نیز شناخته می‌شوند، تنها پنج روز پس از افشای بدافزار لاست کیز (LostKeys) توسط گوگل در ماه می، شروع به استفاده از ابزارهای مخرب جدید کردند.

از آن زمان، گوگل هیچ استفاده‌ی جدیدی از لاست کیز مشاهده نکرده، اما در عوض، بدافزارهای تازه‌ای شناسایی کرده که به گفته‌ی این شرکت، تهاجمی‌تر از هر کمپین قبلی مرتبط با کلد ریور (Coldriver) عمل می‌کنند.

ابزارهای تازه شناسایی‌شده با نام‌های نو ربات (NOROBOT)، یس ربات (YESROBOT) و میبی ربات (MAYBEROBOT) برای گریز از شناسایی و سرقت اطلاعات از اهداف با ارزش بالا طراحی شده‌اند.

بر اساس گزارش گوگل، حملات با فایلی مخرب به نام نو ربات آغاز می‌شود که از طریق صفحه‌ی جعلی CAPTCHA منتقل می‌گردد؛ ترفندی که پیش‌تر نیز در عملیات لاست کیز استفاده شده بود.

بار اولیه (payload) بدافزار یس ربات را نصب می‌کند؛ این بدافزار در ادامه با نسخه‌ی پیشرفته‌تری به نام میبی ربات جایگزین می‌شود.

در حالی که کلد ریور همچنان در حال تغییر و به‌روزرسانی نو ربات است، میبی ربات بدون تغییر باقی مانده، که به گفته‌ی گوگل نشان می‌دهد این گروه تمرکز خود را بر پنهان‌سازی نحوه‌ی نفوذ به شبکه گذاشته و برای جلوگیری از شناسایی پس از نفوذ، از یک درِ پشتی (backdoor) مورد اعتماد استفاده می‌کند.

هنوز مشخص نیست چرا این گروه استفاده از بدافزارهای سفارشی را نسبت به روش‌های فیشینگ اطلاعات کاربری، که مدت‌ها به آن‌ها متکی بوده، در اولویت قرار داده است.

گوگل می‌گوید یکی از احتمالات این است که کلد ریور قصد دارد اهدافی را که پیش‌تر از طریق فیشینگ نفوذ کرده، دوباره آلوده کند تا بتواند اطلاعات بیشتری را مستقیماً از دستگاه‌های آن‌ها استخراج کند.

پژوهشگران گوگل در گزارش خود نوشتند:

با توجه به اینکه کلد ریور همچنان به توسعه و به‌کارگیری این زنجیره ادامه می‌دهد، ما معتقدیم که آن‌ها عملیات تهاجمی خود را علیه اهداف با ارزش بالا حفظ خواهند کرد تا نیازهای اطلاعاتی خود را برآورده سازند.

کلد ریور که حداقل از سال ۲۰۲۲ فعال است، به‌طور گسترده تحت هدایت سرویس‌های اطلاعاتی روسیه فعالیت می‌کند.

این گروه به جاسوسی از سازمان‌های حقوق بشری، رسانه‌های مستقل و گروه‌های جامعه مدنی در اروپای شرقی و ایالات متحده معروف است.

به طور معمول، کلد ریور با سرقت اطلاعات کاربری، به ایمیل‌ها و سایر داده‌های اهداف خود دسترسی یافته و آن‌ها را خارج می‌کند، اما پیش‌تر نیز از بدافزارهایی مانند اسپیکا (Spica) برای هدف قرار دادن افراد خاص و دسترسی به اسناد ذخیره‌شده در سیستم‌های آلوده استفاده کرده است.