به گزارش کارگروه بینالملل سایبربان؛ هکرهای کره شمالی چندین کشور آسیای جنوب شرقی، حتی متحدان شناخته شدهای مانند کامبوج، را با یک کمپین بدافزاری در سال گذشته هدف قرار دادهاند که برای ایجاد درهای پشتی در سیستمهای سازمانهای مهم طراحی شده است.
کارشناسان امنیت سایبری در «Securonix» بررسی 22 صفحهای از کمپینی را منتشر کردند که آن را «Srouded Sleep» مینامند و آن را به «APT37» نسبت دادند. این گروه که گفته میشود در وزارت امنیت دولتی کره شمالی مستقر است، یکی از پربارترین عملیاتهای هک این کشور به شمار میرود.
به نظر میرسد کامبوج هدف اصلی این کمپین باشد، با این حال، میتواند به سایر کشورهای آسیای جنوب شرقی گسترش یابد. آنها اعلام کردند که این براساس زبان و کشورهایی است که در فریبهای فیشینگ به آنها ارجاع داده شده و دادههای تلهمتری جغرافیایی طبق نمونههای شناسایی شده مرتبط است.
سازمانهای قربانی، که Securonix نامی از آنها نبرده یا جزئیاتی از آنها توضیح نداده، مملو از ایمیلهای فیشینگ با بدافزارهای پیوست شده در یک فایل فشرده هستند. درب پشتی متصل شده موسوم به «VeilShell»، به مهاجم اجازه دسترسی کامل به دستگاه در معرض خطر را میدهد.
کارشناسان Securonix اظهار داشتند :
«برخی ویژگیها شامل استخراج دادهها، رجیستری و ایجاد یا دستکاری وظایف برنامهریزی شده است. به طور کلی، عوامل تهدید کاملاً صبور و روشمند بودند. هر مرحله از حمله دارای زمان خواب بسیار طولانی است تا از تشخیصهای اکتشافی سنتی جلوگیری شود. هنگامی که VeilShell مستقر شد، در واقع تا راهاندازی مجدد سیستم بعدی اجرا نمیشود.»
فایلهای داخل فایل فشرده بهگونهای ساخته شدهاند که مشروع به نظر برسند، زیرا به «.pdf.lnk» یا «xlsx.lnk.» ختم میشوند و معمولاً دارای نمادهای میانبر جعلی برای مطابقت با پسوند هستند.
محققان معتقدند که هر فایل میانبری که آنها تجزیه و تحلیل کردند حاوی یک سند فریبنده، یک فایل اکسل (Excel) در یک مورد و یک پیدیاف (PDF) در مورد دیگر، بود که برای پرت کردن حواس کاربر در حالیکه بدافزار در پسزمینه رها شده بود، باز میشد.
Securonix یکی از اسناد فریب را به اشتراک گذاشت که به زبان خمر (Khmer)، زبان ملی کامبوج، نوشته شده بود.
بنابه گفته کارشناسان، این سند درآمد را در بخشهای اقتصادی مرتبط میکند. این سند نسبتاً جالب و به هیچ وجه مخرب نیست. تنها هدف آن ارائه چیزی مشروع به کاربر است. به این ترتیب عمل مورد نظر (کلیک کردن روی یک فایل اکسل) نتیجه مورد انتظار را ایجاد میکند.
یک سند جذاب دیگر به زبان انگلیسی نوشته شده بود اما حاوی اطلاعات مربوط به کامبوج بود.
هنگامی که درب پشتی در جای خود قرار گرفت، مهاجم میتواند دستورات را از راه دور ارسال، دادههای مربوط به فایلهای خاص را صادر و فایلها و موارد دیگر را آپلود کند.
محققان اطلاعات بیشتری در مورد آنچه که هکرها به دنبال آن بودند یا اینکه چرا آنها کامبوج را هدف قرار میدهند، یکی از معدود کشورهای دارای سفارت در کره شمالی، نداشتند. 2 کشور روابط تاریخی دیرینهای دارند و سفارت کره شمالی در آن سوی خیابان خانه هون سن (Hun Sen)، نخست وزیر سابق کامبوج، قرار دارد.
محققان Securonix توضیح دادند که این کمپین نمونه دیگری از پیچیدگی و توانایی کره شمالی برای استقرار ابزارهای مخفیانه در کمپینهای جاسوسی خود در سراسر آسیا است.
APT37 قبلاً در مجموعه دیگری از حملات در ژانویه دخیل بود که سازمانهای رسانهای و دانشگاهیان برجسته را هدف قرار داد. Securonix سال گذشته از کمپینی با استفاده از اسناد استخدام ارتش ایالات متحده به منظور ترغیب مردم کره جنوبی به دانلود محتوای مخرب گزارش داد.
