به گزارش کارگروه حملات سایبری سایبربان؛ شرکت مایکروسافت گفت که خطر وارده از زنجیره جاسوس افزارهای ساخته شده توسط یک شرکت اسرائیلی را کاهش داده است. ظاهرا دولت های سرتاسر دنیا برای نظارت بر معترضین از این جاسوس افزارها استفاده می کنند.
طبق گزارش سیتیزن لب، این شرکت اسرائیلی به نام کاندیرو ( Grindavik، Saito Tech و Tavesta از دیگر نام های آن بشمار می رود. مایکروسافت نیز آن را سورگام نامیده است.) جاسوس افزارهای خود را به طور خاص به دولت ها می فروشد. سیتیزن لب بدافزاری مخرب به نام “ DevilsTongue “ را شناسایی و آن را به مایکروسافت اعلام کرد. این بدافزار با سوء استفاده از یک جفت آسیب پذیری روز صفر مایکروسافت، به طور گسترده ای در حملات سایبری علیه جوامع مدنی مورد استفاده قرار می گرفت. ( این دو آسیب پذیری اصلاح شده اند.) مشتریان با استفاده از این جاسوس افزار، ویندوز را هدف قرار می دهند. البته ابزارهای کاندیرو می توانند از آسیب پذیری های محصولات نرم افزاری دیگر مانند مرورگر گوگل کروم نیز بهره برداری کنند.
قربانیان این جاسوس افزار که بیش از 100 مورد هستند، گروه های زیر را شامل می شوند:
- سیاست مداران
- فعلان حقوق بشر
- خبرنگاران
- اساتید دانشگاه
- کارمندان سفارت
- معترضین سیاسی
این قربانیان از کشورهای مختلفی مانند، ارمنستان، ایران، لبنان، فلسطین، سنگاپور، اسپانیا، ترکیه، بریتانیا و یمن هستند. خود اسرائیل هم جزو موارد مورد هدف قرار گفته می باشد.
سورگام عموما تسلیحات سایبری را به فروش می رساند که آژانس های دولتی اغلب می توانند با استفاده از آن ها، کامپیوترها، گوشی های موبایل، زیرساخت های شبکه و دستگاه های متصل به اینترنت قربانیان را هک کنند. این آژانس ها سپس با انتخاب هدف خود، عملیات های واقعی را ترتیب می دهند.
محققین سیتیزن لب بر این باورند که DevilsTongue می تواند داده و پیغام های زیادی را از حساب های مختلف سرقت کند. این حساب ها شامل فیسبوک، جیمیل، اسکایپ و تلگرام می باشد.
این جاسوس افزار همچنین می تواند ضمن به دست آوردن تاریخچه مرورگر، کوکی ها و گذرواژه های قربانیان، وبکم و میکروفون آن ها را روشن و از صفحات نمایشگر آن ها عکسبرداری کند.
طبق گفته سیتیزن لب، داده های به دست آمده از دیگر اپلیکیشن ها مانند پیام رسان سیگنال، به عنوان یک افزونه به فروش می رسد.
مایکروسافت متذکر شد که مهاجمین بعدها می توانند با استفاده از کوکی سرقت شده، به جای قربانی در وبسایت های مختلف ثبت نام کنند و اطلاعات بیشتری را به دست بیاورند.
این بدافزار می تواند ضمن آلوده سازی گوشی های اندروید، حساب های ابری، آیفون ها، مک ها و کامپیوترها، بر آن ها نظارت کنند.
محققین سیتیزن لب مدعی هستند که زیرساخت کنترل و فرمان DevilsTongue بیش از 750 وبسایت مانند شرکت های رسانه ای، سازمان عفو بین الملل و جنبش حمایت از سیاه پوستان را شامل می شود.
مهاجمین با استفاده از DevilsTongue میلیون ها یورو به جیب می زنند. این جاسوس افزار در حملات زیادی از جمله لینک های مخرب، فایل های ضمیمه در ایمیل ها و حملات مرد میانی مورد استفاده قرار دارد.
مهاجمین می توانند با استفاده از این جاسوس افزار 16 میلیون یورویی، به دفعات نامحدودی اقدام به آلوده سازی کنند اما به صورت همزمان تنها 10 دستگاه را می توانند کنترل و پایش کنند.
مشتریان این امکان را دارند تا با پرداخت 1.5 میلیون یوروی دیگر، قابلیت نظارت بر همزمان 15 دستگاه را به دست بیاورند. با پرداخت 5.5 میلیون یورو، این تعداد به 25 دستگاه خواهد رسید.
استفاده از DevilsTongue تنها محدود به چند کشور انگشت شمار از جمله چین، ایران، اسرائیل و روسیه می باشد.
این جاسوس افزار از دو آسیب پذیری امنیتی در ویندوز استفاده می کرده است. (CVE-2021-31979 و CVE-2021-33771)
البته این دو آسیب پذیری در آپدیت امنیتی ماه جولای مایکروسافت اصلاح شدند.
مایکروسافت مدعی می باشد این حملات از طریق بهره برداری مرورگرهای معروف آلوده و سیستم های عملیاتی ویندوز صورت پذیرفته است.
دو باگ نام برده، این امکان را به مهاجمین می دهند تا از سند باکس مرورگر فرار کنند و اجرای کد هسته یا کرنل را به دست بیاورند.
مایکروسافت گفت که علاوه بر اصلاح امنیتی، اقدامات محافظتی را نیز در محصولات خود در نظر گفته است تا از فعالیت بدافزار سورگام جلوگیری کند.
این دیوارهای محفاظتی از فعالیت ابزار سورگام بر روی کامپیوترهای آلوده جلوگیری می کند و مانع آلوده شدن کامپیوترهای آپدیت شده خواهد شد.
NSO دیگر شرکت اسرائیلی نیز با فروش جاسوس افزار خود یعنی پگاسوس به دولت ها، زمینه اقدامات مخرب را فراهم می کند. بهره برداری از آسیب پذیری روز صفر ویژگی آی مسیج گوشی های آیفون، تازه ترین جرم سایبری گزارش شده با استفاده از پگاسوس می باشد.
این در حالی است که NSO هدف خود از فروش این جاسوس افزار را مبارزه با جرم و ترور خواند!
