کشف ابزارهای جدید گروه هکری شغال طلایی

به گزارش کارگروه بین‌الملل سایبربان؛ محققان ابزارهایی را کشف کرده‌اند که قبلاً مستند نشده بود که توسط یک گروه هکری تحت حمایت دولت علیه دولت‌ها و نهادهای دیپلماتیک در اروپا، خاورمیانه و جنوب آسیا استفاده می‌شد.

طبق گزارش شرکت امنیت سایبری «ESET» مستقر در اسلواکی، شغال طلایی (GoldenJackal) یک گروه هکری کمتر شناخته شده است که حداقل از سال 2019 فعالیت می‌کند. اهداف این گروه شامل یک سفارت آسیای جنوبی در بلاروس و یک سازمان دولتی اتحادیه اروپا است که نامش فاش نشده است. در حالیکه محققان هنوز نتوانسته‌اند این گروه را به کشور خاصی نسبت دهند، آنها مشکوک هستند که هکرهای پشت آن روسی‌زبان باشند.

ابزارهای سفارشی مورد استفاده توسط این گروه در درجه اول برای هدف قرار دادن سیستم‌های دارای شکاف هوا طراحی شده‌اند، شبکه‌های کامپیوتری که از نظر فیزیکی از شبکه‌های ناامن از جمله اینترنت جدا شده‌اند. برخی سازمان‌ها معمولاً حساس‌ترین شبکه‌های خود را مانند سیستم‌های رأی‌گیری و سیستم‌های کنترل صنعتی در حال اجرا در شبکه‌های برق، برای به حداقل رساندن خطر سازش، از بین می‌برند.

طبق گزارش ESET که آخرین کمپین‌های گروه را تجزیه و تحلیل کرده است، به نظر می‌رسد حملات این گروه با هدف سرقت اطلاعات محرمانه باشد.

در جریان حمله به سفارت آسیای جنوبی در بلاروس در ماه اوت سال 2019، هکرها از چندین ابزار سفارشی، از جمله بدافزار «GoldenDealer» برای تحویل فایل‌های اجرایی به سیستم با شکاف هوا از طریق مانیتورینگ یواس‌بی (USB)، درب پشتی «GoldenHowl» و «GoldenRobo»، جمع‌آورنده و حذف کننده فایل استفاده کردند.

در حمله به یک سازمان دولتی اروپایی در ماه می سال 2022، این گروه از یک مجموعه ابزار سفارشی متفاوت استفاده کرد که قادر به جمع‌آوری فایل‌ها از درایوهای یواس‌بی، پخش محموله‌ها در سراسر شبکه از طریق درایوهای یواس‌بی، استخراج فایل‌ها و استفاده از رایانه‌های خاص درون شبکه به عنوان سرور برای ارائه انواع مختلف فایل‌ها به سیستم‌های دیگر بود.

به گفته محققان، در این حملات، شغال طلایی یک رویکرد بسیار مدولار را اتخاذ و از اجزای مختلف برای انجام وظایف مختلف استفاده کرد.

به عنوان مثال، «GoldenUsbCopy» درج درایوهای یواس‌بی را نظارت و فایل‌های جالب را در یک محفظه رمزگذاری شده ذخیره شده روی دیسک کپی می‌کند و «GoldenBlacklist» یک بایگانی رمزگذاری شده را از یک سرور محلی دانلود و پیام‌های ایمیل موجود در آن را پردازش می‌کند و تنها موارد مورد علاقه را نگه می‌دارد و «GoldenMailer» فایل‌ها را با ارسال ایمیل‌هایی با پیوست‌هایی به حساب‌های تحت کنترل مهاجم استخراج می‌کند.

محققان ESET نتوانستند تعیین کنند که چگونه هکرها در ابتدا به سیستم‌های هدف دسترسی پیدا کردند. با این حال، طبق گزارش قبلی شرکت امنیت سایبری کسپرسکی (Kaspersky)، گروه هکری از نرم‌افزارهای تروجانیزه شده و اسناد مخرب برای نفوذ به قربانیان خود استفاده کرده است.

کارشناسان شرکت ESET عنوان کردند :

«به خطر انداختن یک شبکه با شکاف هوا بسیار بیشتر از نقض یک سیستم متصل به اینترنت منابع فشرده‌تر است. با سطح پیچیدگی مورد نیاز، کاملاً غیرعادی است که شغال طلایی در مدت 5 سال موفق به ساخت و استقرار نه یک، بلکه 2 مجموعه ابزار مجزا شد که برای به خطر انداختن سیستم‌های دارای شکاف هوا طراحی شده‌اند.»