سرقت داده های تحقیقاتی توسط هکرهای کره شمالی در یک کمپین سایبری دو ماهه!

به گزارش کارگروه حملات سایبری سایبربان؛ یک کمپین جاسوسی سایبری جدید به نام 'No Pineapple!' به گروه هکری لازاروس کره شمالی ارتباط داده شده است. بازیگران مخرب این کمپین توانستند به صورت مخفیانه و بدون هیچ گونه تخریبی اقدام به سرقت 100 گیگابایت داده کنند.

این کمپین که بین آگوست و نوامبر 2022 در جریان بوده، سازمان های فعال در حوزه تحقیقات پزشکی، مراقبت های سلامت، مهندسی شیمی، انرژی، دفاع و دانشگاه های پیشگام در زمینه تحقیق و پژوهش را هدف قرار داده است. 

این کمپین توسط شرکت امنیت سایبری فنلاندی WithSecure شناسایی شد. محققین این شرکت توانستند با استفاده از یک اشتباه عملیاتی از سوی لازاروس، کمپین نام برده را به این گروه ارتباط دهند.

این شرکت امنیت سایبری برخی موارد توسعه یافته و پیشرفته تر جدید این گروه را نیز شناسایی کرد:

• استفاده از یک زیرساخت جدید با بهره گیری از نشانی های آی پی بدون نام دامین
• نسخه جدیدی از بدافزار سارق اطلاعات Dtrack 
• نسخه جدیدی از بدافزار GREASE که در ساخت حساب ادمین و حفاظت در برابر عبور مورد استفاده قرار گرفت

دلیل نام گذاری این کمپین به نام '< No Pineapple! >' نیز به دلیل مشاهده خطا یا همان اروری به این نام می باشد که توسط یک بدافزار دسترسی راه دور و به هنگام آپلود داده های سرقتی بر روی سرورهای بازیگران مخرب مخابره می شود. 

گروه هکری لازاروس در 22 آگوست 2022 و از طریق افزایش سطح دسترسی به آسیب پذیری های CVE-2022-27925 و and CVE-2022-37042 زیمبرا شبکه هدف خود را در معرض خطر قرار داد و یک وب شِل را بر روی سرور پیام رسان هدف رها سازی کرد. 

این نقص امنیتی در می 2022 اصلاح شد اما همچنان تحت بهره برداری فعال بازیگران مخرب قرار داشت. 

هکرها پس از رخنه موفق به شبکه هدف، با استفاده از ابزارهای تونل زنی Plink و 3Proxy از دیوار آتش عبور کنند. 

WithSecure مدعی شد در کم تر یک هفته مهاجمین شروع به استفاده از اسکریپت های تغییر یافته کردند و موفق به استخراج حدود 5 گیگابایت از پیام های ایمیل سرور هدف شدند. آن ها سپس این داده ها را در یک فایل CSV بایگانی شده محلی ذخیره و سپس بر روی سرور مهاجمین آپلود کردند. 

بازیگران مخرب طی دوماه به جانبی در شبکه هدف پخش شدند و به داده های احراز هویت ادمین و داده های سرقتی از دستگاه ها دست پیدا کردند. 

لازاروس علاوه بر پخش در شبکه، ابزارهای متعدد خاصی مانند  Dtrackو نسخه های جدید بدافزار GREASE را برای مکان یابی حساب های ادمین ویندوز مورد استفاده قرار دادند.

این حمله در 5 نوامبر 2022 به بهره برداری رسید و مهاجمین در نهایت پس از دو ماه اقدام به سرقت 100 گیگابایت داده از سازمان های در معرض خطر قرار گرفته کردند. 

این گزارش یکی دیگر از نشانه های فعالیت لازاروس برای جمع آوری اطلاعات سری و انتقال غیر مجاز حجم زیادی از داده های اهداف به نام و مهم است.