متهم شدن هکرهای ایرانی به حمله علیه زیرساخت‌های حیاتی رژیم صهیونیستی و مصر

به گزارش کارگروه حملات سایبری سایبربان؛ محققان ادعا کردند که گروه هکری مادی‌واتر (MuddyWater) زیرساخت‌های حیاتی در مصر و سرزمین‌های اشغالی را با نرم‌افزار جاسوسی هدف قرار داده که خود را به شکل بازی کلاسیک مار (Snake) جا زده بود.

به گفته محققان شرکت امنیت سایبری «ESET»، این عملیات که بین سپتامبر 2024 تا مارس 2025 فعال بود، در درجه اول سازمان‌های اسرائیلی را در بخش‌های فناوری، مهندسی، دولت محلی، آموزشی و تولیدی هدف قرار داد.

طبق یک پست وبلاگ ESET، این فعالیت جدید از طریق ایمیل‌های اسپیرفیشینگ آشکار شد که معمولاً دارای پیوست‌های پی‌دی‌اف بودند و شامل لینک‌هایی به نصب‌کننده‌های نرم‌افزار جاسوسی میزبانی شده در پلتفرم‌های اشتراک‌گذاری فایل رایگان مانند «OneHub» و مِگا (Mega) بودند.

محققان ESET مدعی شدند که یک در پشتی جدید به نام «MuddyViper» به مهاجمان اجازه می‌دهد تا اعتبارنامه‌های ورود به سیستم ویندوز و داده‌های مرورگر را استخراج، اطلاعات سیستم را جمع‌آوری، فایل‌ها را منتقل و فایل‌ها و دستورات shell را اجرا کنند.

بارگذار سفارشی که MuddyViper از آن استفاده می‌کند و فودر (Fooder) نام دارد، به دلیل نحوه تقلید از بازی Snake، تشخیص این بدافزار را دشوارتر می‌کند. بنابر ادعای ESET، MuddyViper نشان می‌دهد که مادی‌واتر، که با وزارت اطلاعات و امنیت ملی ایران همسو است، از نظر فنی در حال تکامل و در فرار از شناسایی و ماندگاری، توانایی بیشتری پیدا کرده است.

شرکت ESET در یک بیانیه مطبوعاتی ادعا کرد که فودر به صورت انعکاسی MuddyViper را در حافظه بارگذاری و اجرا می‌کند؛ و این لودر به یک تابع تأخیر سفارشی متکی است که منطق اصلی بازی Snake را همراه با فراخوانی‌های رابط برنامه‌نویسی کاربردی «Sleep» اجرا می‌کند.

شرکت ESET مدعی شد:

«این ویژگی‌ها برای تأخیر در اجرا و به منظور پنهان کردن رفتار مخرب از سیستم‌های تجزیه و تحلیل خودکار در نظر گرفته شده‌اند. به طور کلی، این کمپین نشانه‌هایی از تکامل فنی، افزایش دقت، هدف‌گیری استراتژیک و مجموعه‌ای از ابزارهای پیشرفته‌تر، را نشان می‌دهد.»

به گفته این شرکت امنیت سایبری، پس از نفوذ اولیه، مادی‌واتر چندین دزد اعتبارنامه را در حملات به کار گرفت. این موارد شامل «CE-Notes» بود که مرورگرهای مبتنی بر کرومیوم (Chromium) را هدف قرار می‌دهد؛ «LP-Notes»، که اعتبارنامه‌های سرقت شده را مرحله‌بندی و تأیید می‌کند؛ و «Blub» که اطلاعات ورود به سیستم را از مرورگرهای کروم، اِج، فایرفاکس و اُپرا سرقت می‌کند.

مادی‌واتر اولین بار در سال ۲۰۱۷ از طریق کمپین‌های جاسوسی سایبری خود به طور عمومی شناخته شد. در ماه اکتبر امسال، این عامل تهدید ظاهراً به یک کمپین فیشینگ مرتبط شد که بیش از ۱۰۰ نهاد دولتی و سازمان بین‌المللی را در سراسر خاورمیانه و شمال آفریقا هدف قرار داده بود.