بچه گربه های جذاب تحت حمایت ایران پلتفرم وبینار جعلی را برای به دام انداختن اهداف راه اندازی می کند

درگیری‌ها در خاورمیانه، اوکراین و سایر مناطق تنش‌های ژئوپلیتیکی در حال جوشش، کارشناسان سیاست را به آخرین هدف عملیات سایبری انجام شده توسط گروه‌های تحت حمایت دولت تبدیل کرده است. 

یک گروه مرتبط با ایران - معروف به Charming Kitten، CharmingCypress و APT42 - اخیراً کارشناسان سیاست خاورمیانه در منطقه و همچنین در ایالات متحده و اروپا را هدف قرار داده است و از یک پلت فرم وبینار ساختگی برای به خطر انداختن قربانیان هدف خود استفاده می کند، شرکت خدمات واکنش حوادث Volexity. در توصیه ای که در این ماه منتشر شد، بیان شد.

این شرکت اعلام کرد که گربه جذاب به خاطر تاکتیک های مهندسی اجتماعی گسترده اش، از جمله حملات کم و آهسته مهندسی اجتماعی علیه اتاق های فکر و روزنامه نگاران برای جمع آوری اطلاعات سیاسی، شناخته شده است. 

این گروه اغلب اهدافی را برای نصب برنامه‌های VPN تقلب شده با تروجان برای دسترسی به پلتفرم وبینار جعلی و سایر سایت‌ها فریب می‌دهد و در نتیجه بدافزار نصب می‌شود. استیون آدایر، یکی از بنیانگذاران و رئیس Volexity می گوید، به طور کلی، گروه بازی اعتماد طولانی را پذیرفته است.

او می‌گوید: «نمی‌دانم که لزوماً پیچیده و پیشرفته است یا نه، اما تلاش زیادی است». "این پیشرفته تر و پیچیده تر از حمله متوسط ​​شما با اختلاف قابل توجهی است. این سطحی از تلاش و فداکاری است... که قطعا متفاوت و غیرمعمول است... انجام این همه تلاش برای چنین مجموعه خاصی از حملات."

کارشناسان ژئوپلیتیک در تلاقی

کارشناسان سیاست اغلب توسط گروه های دولت-ملت هدف قرار می گیرند. این گروه ColdRiver مرتبط با روسیهبه عنوان مثال، سازمان‌های غیردولتی، افسران نظامی و سایر کارشناسان را هدف قرار داده است که از مهندسی اجتماعی برای جلب اعتماد قربانی استفاده می‌کنند و سپس پیوند مخرب یا بدافزار را دنبال می‌کنند. در اردن، بهره برداری هدفمند - بنا بر گزارش ها توسط سازمان های دولتی - از برنامه جاسوسی پگاسوس استفاده کرد توسط گروه NSO توسعه یافته و روزنامه نگاران، وکلای حقوق دیجیتال و سایر کارشناسان سیاست را هدف قرار داده است. 

شرکت های دیگر نیز تاکتیک های Charming Kitten/CharmingCypress را توصیف کرده اند. در یک توصیه ژانویه، مایکروسافت هشدار داد این گروه که آن را طوفان شن می‌نامد، روزنامه‌نگاران، پژوهشگران، اساتید و دیگر کارشناسانی را که موضوعات امنیتی و سیاسی مورد علاقه دولت ایران را پوشش می‌دهند، هدف قرار داده است.

مایکروسافت اظهار داشت: «اپراتورهای مرتبط با این زیر گروه از Mint Sandstorm، مهندسان اجتماعی صبور و بسیار ماهر هستند که مهارت‌های تجاری آنها فاقد بسیاری از ویژگی‌هایی است که به کاربران امکان می‌دهد ایمیل‌های فیشینگ را به سرعت شناسایی کنند. در برخی از موارد این کمپین، این زیرگروه همچنین از حساب‌های قانونی اما در معرض خطر برای ارسال فریب‌های فیشینگ استفاده می‌کرد.

این گروه حداقل از سال 2013 فعال بوده است ارتباط قوی با سپاه پاسداران انقلاب اسلامیبه گفته شرکت امنیت سایبری CrowdStrike، و مستقیماً در جنبه عملیات سایبری درگیری بین اسرائیل و حماس دخالت نداشته است. 

این شرکت در «تهدید جهانی 2024» اعلام کرد: «برخلاف جنگ روسیه و اوکراین، که عملیات سایبری شناخته شده مستقیماً به درگیری کمک کرده است، افراد درگیر در درگیری اسرائیل و حماس مستقیماً در عملیات نظامی حماس علیه اسرائیل مشارکت نداشته اند. گزارش» در 21 فوریه منتشر شد.

ایجاد رابطه در طول زمان

این حملات معمولاً با spear-phishing شروع می شوند و با ترکیبی از بدافزارهایی که به سیستم هدف تحویل داده می شوند پایان می یابند. مشاوره از Volexity، که به گروه CharmingCypress می گویند. در سپتامبر و اکتبر 2023، CharmingCypress از تعدادی دامنه دارای غلط املایی - آدرس‌هایی مشابه دامنه‌های قانونی - استفاده کرد تا به عنوان مقامات مؤسسه بین‌المللی ایران‌شناسی (IIIS) برای دعوت از کارشناسان سیاست‌گذاری به یک وبینار ظاهر شود. ایمیل اولیه رویکرد کم و آهسته CharmingCypress را نشان داد، از هرگونه پیوند مخرب یا پیوست اجتناب می کرد و از متخصص مورد نظر دعوت می کرد تا از طریق کانال های ارتباطی دیگر مانند واتس اپ و سیگنال ارتباط برقرار کند. 

هدف CharmingCypress با استفاده از spearphishing عمیق، متقاعد کردن کارشناسان سیاست برای نصب بدافزار است. منبع: Volexity

آدایر می‌گوید که این حملات کارشناسان سیاست خاورمیانه را در سراسر جهان هدف قرار می‌دهند و Volexity با اکثر حملات علیه متخصصان اروپایی و آمریکایی روبرو می‌شود.

او می گوید: «آنها کاملاً تهاجمی هستند. آن‌ها حتی کل زنجیره‌های ایمیل یا سناریوی فیشینگ را راه‌اندازی می‌کنند که در آن به دنبال نظر هستند و افراد دیگری وجود دارند - شاید سه، چهار یا پنج نفر در آن رشته ایمیل به استثنای هدف - آنها قطعاً تلاش می‌کنند. برای ایجاد رابطه.»

باطل طولانی در نهایت یک محموله را تحویل می دهد. Volexity پنج خانواده مختلف بدافزار مرتبط با این تهدید را شناسایی کرد. درپشتی PowerLess توسط نسخه ویندوز برنامه شبکه خصوصی مجازی مملو از بدافزار (VPN) نصب می‌شود که از PowerShell برای انتقال و اجرای فایل‌ها استفاده می‌کند و همچنین داده‌های خاص روی سیستم را هدف قرار می‌دهد، ضربه‌های کلید را ثبت می‌کند و عکس‌های صفحه را می‌گیرد. . نسخه macOS این بدافزار NokNok نامیده می شود، در حالی که یک زنجیره بدافزار جداگانه با استفاده از آرشیو RAR و بهره برداری LNK منجر به درب پشتی به نام Basicstar می شود.

دفاع دشوارتر می شود

رویکرد این گروه به مهندسی اجتماعی قطعاً تجسم بخش «تداوم» تهدید پایدار پیشرفته (APT) است. آدیر می‌گوید که Volexity شاهد «رگبار دائمی» حملات است، بنابراین کارشناسان سیاست باید به تماس‌های سرد مشکوک‌تر شوند.

او می‌گوید که انجام این کار دشوار خواهد بود، زیرا بسیاری از کارشناسان سیاست‌گذاری دانشگاهیان هستند که دائماً با دانشجویان یا اعضای عمومی در تماس هستند و عادت ندارند در تماس‌های خود سختگیر باشند. با این حال، آنها قطعاً باید قبل از باز کردن اسناد یا وارد کردن اعتبار به سایتی که از طریق یک پیوند ناشناخته به آن دسترسی پیدا کرده اند فکر کنند.

Adair می‌گوید: «در پایان روز، آنها باید شخص را وادار کنند که روی چیزی کلیک کند یا چیزی را باز کند، که اگر بخواهم مقاله یا چیزی شبیه به آن را بررسی کنید، به این معنی است که ... بسیار مراقب پیوندها و فایل‌ها هستید. «اگر مجبور باشم اعتبار خود را در هر مقطع زمانی وارد کنم، یا چیزی را مجاز کنم - باید یک پرچم قرمز بزرگ باشد. به طور مشابه، اگر از من خواسته شود چیزی را دانلود کنم، باید یک پرچم قرمز بسیار بزرگ باشد.

علاوه بر این، کارشناسان سیاست باید درک کنند که CharmingCypress حتی در صورت شکست تلاش هایش به هدف قرار دادن آنها ادامه خواهد داد. 

این شرکت در مشاوره خود اعلام کرد: "این عامل تهدید بسیار متعهد به انجام نظارت بر اهداف خود است تا تعیین کند چگونه آنها را به بهترین شکل دستکاری کرده و بدافزار را به کار گیرد." "علاوه بر این، تعداد کمی از بازیگران تهدید دیگر به طور مداوم به اندازه CharmingCypress کمپین هایی راه اندازی کرده اند و اپراتورهای انسانی را برای حمایت از تلاش های مداوم خود اختصاص داده اند."

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• PlatoData.Network Vertical Generative Ai. به خودت قدرت بده دسترسی به اینجا.
• PlatoAiStream. هوش وب 3 دانش تقویت شده دسترسی به اینجا.
• PlatoESG. کربن ، CleanTech، انرژی، محیط، خورشیدی، مدیریت پسماند دسترسی به اینجا.
• PlatoHealth. هوش بیوتکنولوژی و آزمایشات بالینی. دسترسی به اینجا.
• منبع: https://www.darkreading.com/vulnerabilities-threats/iran-backed-charming-kitten-stages-fake-webinar-platform-to-ensnare-targets