حمله هکرهای تورلا روسیه به نیروی دفاعی اوکراین

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، تورلا یک گروه جاسوسی سایبری است که با نام‌های واترباگ (Waterbug) و ونوموس بر (Venomous Bear) نیز شناخته می‌شود و از نزدیک با سازمان اطلاعات روسیه (FSB) وابسته است.

این گروه با حملات سایبری متعددی از جمله به پارلمان فدرال آلمان و پارلمان اوکراین در سال 2014 مرتبط بوده است.

در گزارشی که روز چهارشنبه منتشر شده است، تیم واکنش اضطراری رایانه ای اوکراین اعلام می کند که گروهی را مشاهده کرده است که نیروهای دفاعی اوکراین را با نرم افزارهای جاسوسی کپیبار (Capibar) و کازوئآر (Kazuar) هدف قرار داده است.

چیزی که کپیبار را خاص می کند این است که سرورهای مایرکوسافت اکسچنج (Microsoft Exchange) را با استفاده از ابزار پاورشل (PowerShell) به خطر می اندازد تا یک سرور قانونی را به یک مرکز کنترل بدافزار تبدیل کند.

به منظور تزریق بدافزار به سیستم قربانی، هکرها ایمیل هایی با پیوست های مخرب ارسال می کنند و هنگامی که این پیوست ها باز می شوند، یک فرمان پاورشل را راه اندازی خواهند کرد.

تحت شرایط خاص، یک درپشتی بسیار پیشرفته و چند منظوره به نام کازوئآر بر روی رایانه های در معرض خطر دانلود می شود.

این درپشتی قادر به استخراج اطلاعات حساس احراز هویت، از جمله رمز عبور، نشانک‌ها، کوکی‌ها و پایگاه‌های داده از سرویس‌هایی مانند کی پس (KeePass)، آژور (Azure)، گوگل کلود (Google Cloud) و خدمات وب آمازون است.

در میان ایمیل هایی که تیم واکنش اضطراری رایانه ای اوکراین برای تجزیه و تحلیل دریافت کرده است، قبوض آب و برق جعلی وجود دارد که به نظر می رسد از سوی شرکت های انرژی اوکراین ارسال شده است.

به گفته واحد اطلاعات تهدید مایکروسافت، عامل تهدید قصد دارد فایل‌های حاوی پیام‌های برنامه پیام‌رسانی محبوب سیگنال را استخراج کند که به عامل اجازه خواهد داد تا مکالمات خصوصی سیگنال، و همچنین اسناد، تصاویر و فایل‌های بایگانی را در سیستم‌های هدفمند بخواند.

تیم واکنش اضطراری رایانه ای اوکراین فاش نکرده است که استفاده از جاسوس‌افزار تورلا چقدر مؤثر بوده و چه تعداد قربانی را آلوده کرده است.

این آژانس از سال 2022 این گروه را ردیابی می کرده است.

سال گذشته، شرکت امنیت سایبری ماندیانت (Mandiant) متعلق به گوگل، تورلا را مشاهده کرده بود که یک بات نت مجرمان سایبری را برای ورود به سیستم قربانیان خود کنترل می کند.

محققان دریافتند که کاربری در اوکراین یک درایو یو اس بی را در رایانه خود قرار داده است و به طور ناخواسته آن را با یک تروجان بانکی قدیمی به نام آندرومدا آلوده کرده است.

این بدافزار متعاقباً دو ابزار ماندیانت را که قبلاً به تورلا متصل کرده بود، دانلود و نصب کرده است