به گزارش کارگروه حملات سایبری سایبربان؛ محققان معتقدند که یک گروه هکری مستقر در چین، در یک کمپین جاسوسی سایبری جدید که نهادهای دولتی را هدف قرار می‌دهد، از تقویم گوگل سوءاستفاده کرده است.
در گزارشی که این هفته منتشر شد، تحلیلگران گوگل این کمپین را به «APT41»، نسبت دادند که با نام‌های «Brass Typhoon»، «Wicked Panda» و «RedGolf» نیز شناخته می‌شود. اهداف اصلی این گروه شامل دولت‌ها و سازمان‌های خارجی در بخش‌هایی مانند لجستیک، رسانه، خودرو و فناوری است.
این حمله که اواخر اکتبر گذشته توسط گوگل کشف شد، با ایمیل‌های فیشینگ آغاز شد که قربانیان را به یک آرشیو زیپ مخرب هدایت می‌کرد که در یک وب‌سایت دولتی هک شده میزبانی می‌شد. این آرشیو حاوی یک فایل پی‌دی‌اف در کنار پوشه‌ای با تصاویر حشرات بود که برای ترغیب گیرنده به کلیک طراحی شده بود. پس از باز شدن، فایل یک بدافزار مخفی را اجرا می‌کرد که محققان آن را «ToughProgress» نامیده‌اند.
به گفته گوگل، این بدافزار 3 بار داده ماژولار را مستقر کرد که کاملاً در حافظه دستگاه عمل می‌کردند تا از شناسایی شدن فرار کنند.
محققان گفتند آنچه ToughProgress را به طور خاص قابل توجه می‌کند، استفاده آن از تقویم گوگل برای فرماندهی و کنترل است. این بدافزار پس از آلوده شدن، رویدادی به تاریخ ۳۰ می ۲۰۲۳ ایجاد و داده‌های رمزگذاری‌شده‌ی دزدیده‌شده را در توضیحات رویداد جاسازی کرد.
در تاریخ‌های مشخصی در ماه ژوئیه گذشته، مهاجمان ورودی‌های تقویم اضافی حاوی دستورالعمل‌های رمزگذاری‌شده را بارگذاری کردند. این بدافزار از تقویم گوگل نظرسنجی، محتوا را رمزگشایی و قبل از بارگذاری نتایج در رویدادهای تقویم جدید، دستورات را اجرا کرد.
گوگل خاطرنشان کرد که سوءاستفاده از سرویس‌های ابری قانونی مانند تقویم گوگل به مهاجمان اجازه می‌دهد تا با ترافیک عادی ترکیب شوند و شناسایی را دشوارتر می‌کند.
APT41 یکی از فعال‌ترین گروه‌های سایبری وابسته به دولت چین است. اعضای آن در سال ۲۰۲۰ توسط ایالات متحده به دلیل نقض بیش از ۱۰۰ نهاد در سراسر جهان متهم شدند. اف‌بی‌آی حکم بازداشت 5 تبعه چینی مرتبط با این گروه، از جمله ژانگ هائوران (Zhang Haoran) و تان دیلین (Tan Dailin)، را به دلیل نفوذهای سایبری شامل جاسوسی، استقرار باج‌افزار و حملات زنجیره تأمین نرم‌افزار صادر کرده است.
محققان براین باورند که این گروه همچنین با نفوذهایی که سازمان‌های دولتی جنوب شرقی آسیا را هدف قرار می‌دادند، مرتبط است. محققان شرکت امنیت سایبری سوفوس (Sophos) گزارش دادند که APT41 تقریباً 2 سال را در یک وزارتخانه سطح بالای دولتی گذرانده و ظاهراً به دنبال اطلاعات مربوط به سیاست دریای چین جنوبی بوده است. در ماه اوت گذشته، این گروه به یک مؤسسه تحقیقاتی وابسته به دولت تایوان نفوذ کرد که روی فناوری‌های حساس کار می‌کرد.
