جاسوسی چین از کشور گویانا

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، شرکت امنیت سایبری ایست (Eset) گفت مهاجمان از یک درب پشتی که قبلاً مستند نشده بود و همچنین از ابزارهای هک سنتی برای هدف قرار دادن یک "نهاد دولتی" ناشناس در گویانا استفاده کرده اند.

شرکت ایست این کمپین را با اطمینان متوسط به هکرهای چینی نسبت داد.

در طول این حمله، گونه‌ای از کورپلاگ (Korplug) که همچنین به عنوان پلاگ ایکس (PlugX) نیز شناخته می‌شود و ابزاری برای دسترسی از راه دور است، توسط عوامل تهدید به کار گرفته شد؛ هکرهایی که مظنون به ارتباط با پکن هستند.

در یک پست وبلاگی در روز پنجشنبه اعلام شد که تحولات اخیر در گویانا، از جمله دستگیری سه نفر در فوریه 2023 توسط مقامات این کشور به اتهام پولشویی برای مشاغل چینی، فرضیات ایست را تقویت می کند.

این پست وبلاگی، کمپین جاسوسی سایبری را "عملیات جاکانا" نامید و گفت که در زمان دستگیری ها اتفاق افتاده است.

این کشور که در سرزمین اصلی آمریکای جنوبی واقع شده است، در طرح بین المللی کمربند و جاده چین شرکت می کند.

این ابتکار تلاش طولانی مدت شی جین پینگ رئیس جمهور چین برای افزایش نفوذ بین المللی از طریق تأمین مالی پروژه های زیرساختی در کشورهای توسعه نیافته است.

محمد عرفان علی، رئیس جمهور گویانا در ماه ژوئیه برای دیدار با شی به چین سفر کرد.

وزارت امور خارجه چین درباره این دیدار نوشت:

چین و گویانا باید دوستان خوبی باشند که به یکدیگر اعتماد دارند و روی یکدیگر حساب می کنند.

عملیات جاکانا از ایمیل‌های فیشینگ نیزه‌ای استفاده کرد که به روابط عمومی گویانا با مضمون «بازدید رسمی رئیس‌جمهور محمد عرفان علی از ناسائو، باهاما» و «فراری گویانا در ویتنام» اشاره می‌کرد.

پیام‌های فیشینگ حاوی پیوندی به یک فایل فشرده با فرمت زیپ (ZIP) قابل دانلود بود که حاوی درب پشتی غیرمستند قبلی بود که ایست آن را دینوداس رت (DinodasRAT) نامید.

شرکت ایست این نام را انتخاب کرد زیرا شناسه قربانی که به سرورهای فرمان و کنترل ارسال می کند، همیشه با رشته دین (Din) شروع می شود.

این موضوع محققان امنیتی را به یاد هابیت داینودا از «ارباب حلقه‌ها» انداخت.

از میان عملکردهای خود، دینوداس رت هر بار از دستگاه قربانی عکس می گیرد و هر پنج دقیقه محتوای کلیپ بورد را دریافت می کند.

این مجموعه، دستورات گسترده‌ای دارد که مهاجمان را قادر می‌سازد تا فایل‌ها را دستکاری کنند، دستورات را اجرا کنند، فرآیندها را شمارش کنند، خدمات را مدیریت کنند و حتی پوسته‌های معکوس ایجاد کنند و پس از اعمال الگوریتم رمزگذاری تاینی (Tiny)، اطلاعات را به سرور فرمان و کنترل ارسال می کند.

علاوه بر دینوداس رت، مهاجمان از کورپلاگ و یک کلاینت شبکه خصوصی مجازی سافت اتر (SoftEther) برای نفوذ بیشتر خود استفاده کردند.