به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، این حمله دستکم یک فعال سیاسی بلاروسی تبعیدی ساکن لیتوانی را هدف قرار داده و شواهد نشان میدهد کاربران دیگری در بلاروس، روسیه و قزاقستان نیز از اکتبر ۲۰۲۴ در معرض آن قرار گرفتهاند.
این حمله با ارسال یک پیام هشدار جعلی امنیتی در قابلیت گفتوگوی محرمانه (Secret Chat) تلگرام آغاز میشود.
مهاجمان با استفاده از حسابی ثبتشده با شماره تلفن قزاقستانی، به قربانیان اعلام میکنند که به دلیل نقض قوانین تلگرام، حساب کاربری آنها در معرض مسدود شدن قرار دارد و برای جلوگیری از این موضوع باید هویت خود را از طریق یک لینک تأیید کنند.
برخلاف بسیاری از حملات سایبری، هدف این کارزار نصب بدافزار روی دستگاه قربانی نیست، بلکه مهاجمان تلاش میکنند با فریب کاربران، کد یکبار مصرف ورود به حساب تلگرام (OTP) را به دست آورند.
در صورت وارد شدن این کد پیش از انقضای زمان اعتبار آن، مهاجمان میتوانند کنترل کامل حساب تلگرام قربانی را در اختیار بگیرند.
پژوهشگران ۶۴ شماره تلفن مختلف، عمدتاً متعلق به کاربران روسی، را در لینکهای فیشینگ اختصاصی شناسایی کردهاند.
هر لینک بهصورت منحصربهفرد برای یک قربانی طراحی شده و حاوی شماره تلفن اوست؛ موضوعی که به مهاجمان امکان میدهد باز شدن لینکها را بهدقت ردیابی کنند.
یکی از ویژگیهای پیشرفته این کارزار، زیرساخت هوشمند آن است.
مهاجمان پیش از نمایش صفحه جعلی ورود به تلگرام، اطلاعات مربوط به مرورگر و دستگاه بازدیدکننده را بررسی میکنند.
تنها در صورتی که مشخصات کاربر با هدف موردنظر مطابقت داشته باشد، صفحه جعلی نمایش داده میشود.
در مقابل، ابزارهای امنیتی و بسیاری از کاربران دسکتاپ به وبسایت اصلی تلگرام یا صفحات بیخطر هدایت میشوند؛ روشی که شناسایی این حمله را دشوارتر میکند.
مهاجمان همچنین پس از باز شدن لینک، پیام دیگری برای قربانی ارسال کرده و با ارائه اطلاعاتی مانند زمان مراجعه به لینک، نوع دستگاه و ارائهدهنده خدمات اینترنت، تلاش میکنند پیام خود را معتبر جلوه داده و کاربر را برای تکمیل فرایند ورود تحت فشار قرار دهند.
آنها برای دور زدن سامانههای تشخیص خودکار نیز از جایگزینی برخی حروف سیریلیک با حروف مشابه لاتین و یونانی استفاده کردهاند.
به گفته پژوهشگران، این حمله نشان میدهد که عملیاتهای جاسوسی سایبری مؤثر الزاماً به بدافزارهای پیچیده نیاز ندارند و گاهی تنها یک پیام فریبنده و هدفمند برای به خطر انداختن امنیت کاربران کافی است.
