حمله هکرهای دولتی روس به اوکراین با استفاده از کوبالت استرایک

به گزارش کارگروه حملات سایبری سایبربان؛ تیم پاسخگویی به رخدادهای کامپیوتری اوکراین هشدار داد که گروه های هکری روس با هدف نصب بدافزار CredoMap و بیکن های کوبالت استرایک در حال بهره برداری از آسیب پذیری اجرای کد Follina (فولینا) در کمپین های فیشینگ جدید هستند.

  باور بر این است که گروه هکری APT28 ایمیل هایی حاوی یک سند مخرب به نام Nuclear Terrorism A very real Threat.rtf (تروریسم هسته ای، تهدیدی بزرگ و واقعی!) را ارسال می کند. دلیل انتخاب این موضوع توسط بازیگران مخرب روس می تواند ترس اوکراینی ها از حمله هسته ای احتمالی باشد. دریافت کنندگان ایمیل ها به دلیل این موضوع، فایل های ارسالی را باز می کنند. در صورت باز شدن، سند مخربی که در کمپین APT28 مورد استفاده قرار گرفته تلاش می کند با بهره برداری از آسیب پذیری CVE-2022-30190 یا همان فولینا، بدافزار CredoMap را بر روی دستگاه هدف دانلود و راه اندازی کند. 

این آسیب پذیری یک نقص امنیتی در ابزار تشخیصی مایکروسافت است که دست کم از آوریل 2022 در حملات مورد بهره برداری قرار گرفته است. 

CredoMap یک بدفزار نا شناخته است که توسط چندین موتور آنتی ویروس در ویروس توتال شناسایی شد. بسیاری از مراکز آن را یک تروجان سارق گذرواژه می دانند.

در گزارش مرتبط دیگری که امروز توسط Malwarebytes منتشر شد، تحلیلگران امنیتی مدعی شدند که این پی لود، سارق اطلاعاتی است که APT28 در ماه می نیز از آن علیه اوکراین استفاده کرده بود. 

هدف این بدافزار سرقت اطلاعات بایگانی شده در مرورگرهای وب کروم، اج و فایرفاکس مانند داده های احراز هویت حساب و کوکی ها می باشد. 

این بدافزار در نهایت با استفاده از پروتکل ایمیل IMAP داده های سرقتی را به صورت غیر مجاز انتقال و همه چیز را به نشانی کنترل و فرمان ارسال می کند. این نشانی توسط یک سایت رها شده مرتبط با دبی میزبانی می شود.

طبق گفته تیم شکارچی بدافزار که این کمپین را روز گذشته شناسایی کرد، بدافزار نام برده با استفاده از داده های احراز هویت IMAP هارد کد شده این امکان را به هر محققی می دهد تا به داده های سرقتی دسترسی پیدا کنند. 

تیم پاسخگویی به رخدادهای رایانه ای اوکراین هم سو با موارد فوق الذکر، کمپین متفاوت دیگری را نیز شناسایی کرد که در آن، بازیگر مخربی به نام UAC-0098 با استفاده از آسیب پذیری CVE-2022-30190 هدف خود را آلوده می کند. (با حداقل فعل و انفعال)

در این مورد بازیگر مخرب از فایل DOCX ای به نام Imposition of penalties.docx استفاده می کند و پی لود رها شده آن کوبالت استرایک می باشد. 

این ایمیل ها به صورت فرضی از طرف اداره مالیات دولت اوکراین و با موضوع اخطارعدم پرداخت مالیات ارسال می شود. این موضوع می تواند حربه خوبی برای بازکردن فایل باشد چرا که مردم اوکراین به دلیل جنگ با روسیه پرداخت مالیات خود را پشت گوش انداخته اند.