به گزارش کارگروه حملات سایبری سایبربان؛ دولت ها، نهادهای دیپلماتیک، سازمان های نظامی، شرکت های قضایی و موسسات مالی که عمدتا در خاورمیانه مستقر هستند، از سال 2019 مورد هدف یک کمپین بدافزاری قرار دارند. در این کمپین از اسناد ورد و اکسل مخرب استفاده می شود.
شرکت امنیت سایبری روس کسپرسکی این حملات را قطعیت به بازیگر مخربی به نام WIRTE ارتباط داده است. این شرکت افزود:
این حملات شامل رها کننده های اکسلی می باشند که با استفاده از صفحات گسترده مخفی و ماکروهای زبان ویژوال بیسیک اسکریپت (VBS) اولین ایمپلنت خود را رها می کنند. این ایمپلنت در واقع VBS ای با قابلیت جمع آوری اطلاعات سیستم و اجرای کدهای دلخواه ارسالی از سوی مهاجمین است.
طبق بررسی های صورت گرفته از سوی محققین، گروه WIRTE با گروهی دیگر به نام Gaza Cybergang در ارتباط است. نهادهای تحت الشعاع قرار گرفته در این کمپین، در کشورهایی مانند ارمنستان، قبرس، مصر، اردن، لبنان، فلسطین، سوریه و ترکیه مستقر هستند.
زنجیره آلوده سازی شامل اسناد مایکروسافت آفیس مخربی است که با استفاده از VBS و از طریق ایمیل های فیشینگ هدف دار منتشر به قربانی ارسال می شوند.
رها کننده های اکسل طوری برنامه نویسی شده اند که می توانند ماکروهای مخرب را دانلود و ایمپلنت بعدی به نام Ferocious را نصب کنند.
Ferocious با استفاده از تکنیکی به نام COM hijacking منجبر به اجرای اسکریپت پاورشلی به نام LitePower می شوند.
LitePower به عنوان یک دانلود کننده عمل می کند و به سرورهای کنترل و فرمان راه دور در اوکراین و استونی متصل می شوند.
این عملیات در نهایت منجبر به استفاده از بدافزارهای اضافی بر روی سیستم های در معرض خطر خواهد شد.
استفاده WIRTE از زبان های بدافزاری مانند VBS و اسکریپت های پاورشل این گروه را برای به روز رسانی مجموعه ابزاری خود انعطاف پیذیر کرده و کار شناسایی آن را مشکل کرده است.
