حمله به ارتش اوکراین در کمپین فیشینگ با استفاده از دستورالعملهای پهپاد
به گزارش کارگروه حملات سایبری سایبربان؛ دن ایوزویک، تیم پک و اولگ کولسنیکوف، محققین سکیور اونیکس (Securonix) میگویند:
از آنجایی که پهپادها یا وسایل نقلیه هوایی بدون سرنشین، ابزاری جداییناپذیر توسط ارتش اوکراین هستند، فایلهای فریبنده با بدافزار با مضمون دستورالعملهای خدمات پهپادها ظاهر شدهاند.
این شرکت امنیت سایبری این کمپین را با نام استارک#وورتکس (STARK#VORTEX) ردیابی می کند.
نقطه شروع حمله یک فایل راهنمای اچ تی ام ال (سی اچ ام( (HTML (CHM)) کامپایل شده مایکروسافت است که پس از باز شدن، جاوا اسکریپت مخربی را اجرا می کند که در یکی از صفحات اچ تی ام ال تعبیه شده است تا کد پاورشل (PowerShell) را اجرا کند که برای تماس با یک سرور راه دور برای واکشی یک باینری مبهم طراحی شده است.
محموله مبتنی بر ویندوز برای استخراج عامل مرلین رمزگشایی میشود، که به نوبه خود برای برقراری ارتباط با سرور فرمان و کنترل (C2) برای اقدامات پس از بهرهبرداری، پیکربندی شده است و به طور مؤثر کنترل میزبان را به دست میگیرد.
محققان میگویند:
در حالی که زنجیره حمله بسیار ساده است، مهاجمان از برخی تاکتیک ها، تکنیک ها و رویه های (TTP) بسیار پیچیده و روشهای مبهمسازی برای فرار از شناسایی استفاده کردند.
این اولین بار است که سازمان های دولتی اوکراین با استفاده از مرلین هدف قرار می گیرند.
در اوایل آگوست 2023، تیم واکنش اضطراری رایانه ای اوکراین (CERT-UA) زنجیره حمله مشابهی را رصد کرد که از فایل های سی اچ ام به عنوان فریب برای آلوده کردن رایانه ها با ابزار منبع باز استفاده می کند.
کمپین فیشینگ
تیم واکنش اضطراری رایانه ای اوکراین این نفوذها را به عامل تهدیدی که با نام یو ای سی-0154 (UAC-0154) شناخته می شود، نسبت داد.
محققان توضیح دادند:
فایلها و اسناد مورد استفاده در زنجیره حمله بسیار قادر به دور زدن هرگونه اقدام دفاعی هستند.
معمولاً دریافت فایل راهنمای مایکروسافت از طریق اینترنت غیرعادی تلقی می شود؛ با این حال، مهاجمان اسناد فریب را به گونه ای شکل می دادند که قربانی ناآگاه ممکن است انتظار داشته باشد در یک سند یا فایل با مضمون کمک ظاهر شود.
این توسعه، هفتهها پس از آن صورت گرفت که تیم واکنش اضطراری رایانه ای اوکراین اعلام کرد که یک حمله سایبری ناموفق را علیه یک تأسیسات زیرساخت انرژی حیاتی ناشناس در این کشور شناسایی کرده است که توسط گروه دولتی روسیه به نام ای پی تی 28 (APT28) انجام شده است.
