NewsPenguin برای اسرار دریایی و نظامی فیشینگ می کند

یک بازیگر تهدید جدید که محققان آن را «NewsPenguin» نامیده‌اند، ماه‌ها با استفاده از یک ابزار بدافزار پیشرفته، یک کمپین جاسوسی علیه مجتمع نظامی-صنعتی پاکستان انجام داده است. 

در یک پست های وبلاگ در 9 فوریه، محققان بلک بری فاش کردند که چگونه این گروه با دقت یک کمپین فیشینگ را برای هدف قرار دادن بازدیدکنندگان نمایشگاه و کنفرانس بین المللی دریایی پاکستان (PIMEC) برنامه ریزی کرده است.

PIMEC در طول این هفته آینده برگزار خواهد شد. این یک ابتکار نیروی دریایی پاکستان است که به گفته یک دولت اطلاعیه مطبوعاتی"فرصت هایی را برای صنعت دریایی چه در بخش دولتی و چه در بخش خصوصی برای نمایش محصولات و توسعه روابط تجاری فراهم می کند. این رویداد همچنین پتانسیل دریایی پاکستان را برجسته خواهد کرد و پر کردن مطلوب برای رشد اقتصادی در سطح ملی را فراهم می کند.

شرکت‌کنندگان در PIMEC شامل دولت‌های ملی، ارتش‌ها و تولیدکنندگان نظامی و غیره هستند. این واقعیت، همراه با استفاده نیوپنگوین از یک فریب سفارشی فیشینگ و سایر جزئیات متنی این حمله، محققان را به این نتیجه رساند که «بازیگر تهدید به طور فعال سازمان‌های دولتی را هدف قرار می‌دهد».

چگونه NewsPenguin برای داده ها فیشینگ می کند

NewsPenguin با استفاده از قربانیان خود را جذب می کند ایمیل های فیشینگ نیزه ای با یک سند Word پیوست، که ظاهراً یک "راهنمای نمایشگاه" برای کنفرانس PIMEC است.

اگرچه نام فایل کاملاً یک پرچم قرمز بود - "Mimportant Document.doc" - به نظر می رسد محتوای آن مستقیماً از مطالب رویداد واقعی برداشته شده است، دارای مهرهای دولتی و زیبایی شناسی مشابه سایر رسانه های منتشر شده توسط سازمان دهندگان.

سند ابتدا در یک نمای محافظت شده باز می شود. سپس قربانی باید برای خواندن سند روی "فعال کردن محتوا" کلیک کند، که باعث حمله تزریق قالب از راه دور می شود.

حملات تزریق قالب از راه دور با قرار دادن بدافزار نه در یک سند، بلکه در قالب مرتبط با آن، هوشمندانه از شناسایی آسان جلوگیری می کند. دیمیتری بستوزف، محقق تهدید در بلک بری به Dark Reading توضیح می‌دهد که «تکنیک ویژه‌ای است که به حملات اجازه می‌دهد تا زیر رادار پرواز کنند، به‌ویژه برای محصولات مشابه با شناسایی و پاسخ نقطه پایانی (EDR). دلیل آن این است که ماکروهای مخرب در خود فایل نیستند، بلکه در یک سرور راه دور هستند - به عبارت دیگر، خارج از زیرساخت قربانی. به این ترتیب، محصولات سنتی ساخته شده برای محافظت از نقطه پایانی و سیستم‌های داخلی مؤثر نخواهند بود.»

تکنیک های طفره رفتن NewsPenguin

محموله در انتهای جریان حمله یک فایل اجرایی بدون نام متمایز است که در پست وبلاگ به عنوان "updates.exe" نامیده می شود. این ابزار جاسوسی که قبلاً دیده نشده است، شاید بیشتر از همه به دلیل پیشرفت آن قابل توجه باشد در برابر تشخیص و تجزیه و تحلیل مقاومت کنید.

به عنوان مثال، برای جلوگیری از ایجاد هر گونه صدای بلند در یک محیط شبکه هدف، بدافزار با سرعت حلزونی عمل می کند و بین هر دستور پنج دقیقه طول می کشد.

بستوزف توضیح می‌دهد: «این تأخیر به‌منظور عدم ایجاد فعالیت بیش از حد شبکه است. تا حد امکان بی صدا می ماند و ردپای کمتری برای سیستم های تشخیص وجود دارد.

بدافزار NewsPenguin همچنین یک سری اقدامات را انجام می دهد تا بررسی کند که آیا در یک ماشین مجازی یا جعبه ایمنی مستقر است یا خیر. متخصصان امنیت سایبری دوست دارند بدافزار را در این محیط‌ها به دام انداخته و تجزیه و تحلیل کنند، که هر گونه تأثیر مخرب را از بقیه رایانه یا شبکه جدا می‌کند. هکرها نیز به نوبه خود می دانند که اگر نمی خواهند گرفتار شوند، از این محیط های جدا شده اجتناب کنند.

محققان چند روش فرار مختلف را در updates.exe شمارش کردند، که "شامل استفاده از GetTickCount" - یک تابع ویندوز که گزارش می دهد چه مدت از راه اندازی سیستم گذشته است - "برای شناسایی جعبه های ماسه ای که عملکردهای خواب را دور می زنند، اندازه هارد دیسک را بررسی می کنند. بر اساس این گزارش، به بیش از 10 گیگابایت رم نیاز دارد.

لقمه هایی که NewsPenguin می خواهد

محققان نتوانستند NewsPenguin را به هیچ عامل تهدید شناخته شده ای متصل کنند. گفتنی است، این گروه مدتی است که کار می کند.

دامنه‌های مرتبط با کمپین در ماه ژوئن و اکتبر سال گذشته به ثبت رسیده‌اند، علی‌رغم اینکه PIMEC فقط در این آخر هفته رخ داد.

نویسندگان گزارش مشاهده کردند: "هکرهای کوته فکر معمولاً عملیات را از قبل برنامه ریزی نمی کنند، و رزرو دامنه و IP را ماه ها قبل از استفاده از آنها انجام نمی دهند." این نشان می‌دهد که NewsPenguin برنامه‌ریزی‌های قبلی انجام داده و احتمالاً برای مدتی مشغول انجام فعالیت بوده است.»

در آن زمان، نویسندگان افزودند، NewsPenguin "به طور مستمر ابزارهای خود را برای نفوذ به سیستم های قربانی بهبود می بخشد."

بین ماهیت از پیش برنامه ریزی شده حمله و مشخصات قربانیان، تصویر بزرگتر شروع به روشن شدن می کند. "در غرفه های کنفرانس چه اتفاقی می افتد؟" بستوزف می پرسد. شرکت‌کنندگان به غرفه‌داران نزدیک می‌شوند، گپ می‌زنند و اطلاعات تماس را تبادل می‌کنند، که پرسنل غرفه با استفاده از فرم‌های ساده مانند صفحات گسترده، آن‌ها را به عنوان سرنخ ثبت می‌کنند. بدافزار NewsPenguin برای سرقت این اطلاعات ساخته شده است و باید توجه داشته باشیم که کل کنفرانس در مورد فناوری های نظامی و دریایی است.

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• پلاتوبلاک چین. Web3 Metaverse Intelligence. دانش تقویت شده دسترسی به اینجا.
• منبع: https://www.darkreading.com/risk/newspenguin-phishing-maritime-military-secrets