بازرسی وزارت خارجه قزاقستان پس از حمله سایبری روسیه

به گزارش کارگروه بین‌الملل سایبربان؛ رسانه‌های محلی اعلام کردند که قزاقستان وزارت خارجه خود را پس از یک حمله سایبری بزرگ که محققان گمان می‌کنند با هکرهای مورد حمایت کرملین مرتبط است، بازرسی خواهد کرد.

وزارت دیجیتال قزاقستان پس از انتشار گزارشی که جزئیات یک کمپین جاسوسی سایبری علیه نهادهای دیپلماتیک در آسیای مرکزی از جمله قزاقستان، به این حمله واکنش نشان داد. گروه هکری مسئول این عملیات، موسوم به «UAC-0063»، به طور بالقوه با عامل تهدید «APT28» تحت حمایت دولت روسیه مرتبط است که به نام‌های «Fancy Bear» یا «BlueDelta» نیز شناخته می‌شود.

مقامات قزاقستانی به خبرگزاری اُردا (Orda) گفتند که از نیمه دوم سال 2023 از حمله سایبری علیه وزارت خارجه با استفاده از گونه‌های بدافزاری «CherrySpy» و «Hatvibe»، آگاه بودند.

تنها پس از آن که شرکت امنیت سایبری فرانسوی «Sekoia» گزارشی در مورد این حادثه در ماه گذشته منتشر کرد، مقامات تصمیم به انجام حسابرسی از این وزارتخانه گرفتند. وزارت دیجیتال قزاقستان گفت که بر‌اساس یافته‌های ممیزی، مقامات امنیت سایبری این کشور اقدامات بیشتری را انجام خواهند داد.

در پاسخ به این سؤال که آیا هکرهای روسی، همانطور که توسط سکویا و سایر محققان ادعا شده، مسئول هستند یا خیر، کارشناسان گفته بودند که هنوز برای گفتن دراین مورد خیلی زود است. پیش از این، آژانس امنیت ملی قزاقستان اعلام کرده بود که هیچ اطلاعاتی در مورد حملات سایبری روسیه علیه سیستم‌های دولتی این کشور ندارد.

به گفته محققان، هکرهای UAC-0063 حداقل از سال 2021 فعال بوده‌اند و قبلاً نهادهای دیپلماتیک، غیرانتفاعی، دانشگاهی، انرژی و دفاعی در اوکراین، سرزمین‌های اشغالی، هند و چندین کشور آسیای مرکزی از جمله قزاقستان، قرقیزستان و تاجیکستان را هدف قرار داده‌اند.

ظاهراً هکرها در آخرین کمپین خود که توسط Sekoia کشف شد، از اسناد قانونی مانند مکاتبات، پیش‌نویس اسناد یا یادداشت‌های اداری داخلی استفاده کردند که احتمالاً از وزارت خارجه قزاقستان برای ارائه بدافزار به قربانیان نشأت گرفته است.

مشخص نیست هکرها چگونه این اسناد را به دست آورده‌اند. محققان عنوان کردند که آنها شاید در یک عملیات سایبری قبلی استخراج و از منابع باز جمع‌آوری شده باشند یا از طریق ابزار فیزیکی به دست آمده باشند.

سکویا نزدیک به دوجین سند از این دست را شناسایی کرده که مربوط به سال‌های 2021 تا اکتبر 2024 می‌شود. بیشتر آنها به همکاری دیپلماتیک و مسائل اقتصادی بین قزاقستان و سایر کشورها مربوط می‌شود.

این فایل‌های مخرب حاوی 2 نوع بدافزار شناخته‌شده CherrySpy و Hatvibe بودند که هر 2 قبلاً در کمپین‌های جاسوسی سایبری با هدف قرار دادن آسیا و اوکراین استفاده می‌شدند. درپشتی CherrySpy به مهاجمان اجازه می‌دهد تا کد پایتون دریافتی از یک سرور فرماندهی و کنترل را اجرا کنند، درحالی‌که Hatvibe به آنها کمک می‌کند تا فایل‌های اضافی را روی دستگاه‌های آلوده دانلود و اجرا کنند.

کارشناسان پیشنهاد کردند که این کمپین بخشی از یک عملیات جاسوسی سایبری جهانی گسترده‌تر است که کشورهای آسیای مرکزی را هدف قرار می‌دهد که احتمالاً با هدف جمع‌آوری اطلاعات استراتژیک و اقتصادی در مورد روابط قزاقستان با کشورهای غربی و آسیای مرکزی انجام می‌شود.

اوایل ماه ژانویه سال جاری، شرکت امنیت سایبری «Seqrite» در هند گزارشی درباره یک کمپین جاسوسی سایبری جداگانه منتشر کرد که آسیای مرکزی را هدف قرار می‌داد و به یک عامل تهدید ناشناس به نام «Silent Lynx» مرتبط بود.

Silent Lynx قبلاً اندیشکده‌هایی در اروپای شرقی و آسیای مرکزی را هدف قرار داده بود که در تصمیم‌گیری اقتصادی و بخش بانکداری دخیل بودند. به گفته محققان، این گروه شباهت‌ها و همپوشانی‌هایی با یک عامل تهدید مستقر در قزاقستان به نام «YoroTrooper» دارد که برای اولین بار در سال 2022 ظهور کرد و بر جاسوسی سایبری تمرکز دارد.