קבוצת 'AeroBlade' פורצת את חברת התעופה האמריקאית

חברת תעופה וחלל אמריקאית הייתה נתונה לאחרונה למסע ריגול סייבר מסחרי שנמשך כמעט שנה, שבוצע על ידי שחקן איום חדש לכאורה שחוקרים בשם "AeroBlade".

בניגוד לריגול תעופה וחלל בעל סיכון גבוה שבוצע על ידי מדינת לאום גדולה ו קבוצות תוכנות כופר בשנים האחרונות, הקרב האחרון הזה, תועד בשבוע שעבר על ידי Blackberry, עוקב אחר סקריפט ישן ואופייני: פיתיון דיוג, הזרקת תבנית, קוד מאקרו VBA וכן הלאה.

למרות הכובע הישן, הקמפיין - מפוצל לשלב בדיקות (ספטמבר 2022) וביצוע (יולי 2023) - הצליח להישאר בלתי מזוהה במשך יותר משנה הודות להגנות יסודיות נגד ניתוח.

ההצלחה הסופית של מסע הפרסום, ואופי כל הנתונים שאליהם ניתן היה לגשת, עדיין לא ידועים.

ריגול תעופה וחלל, באמצעות וורד

שתי ההתקפות החלו, כמו רבים כל כך לפני כן, במסמכי פיתוי עטופים במיילים פישינג.

לאחר הלחיצה, הקבצים המצורפים חשפו מסמכי Microsoft Word עם טקסט מקושקש. המסמכים הכילו גם כותרת חשודה: "משהו השתבש אפשר תוכן כדי לטעון את המסמך."

מחקה את הודעות מאקרו של פעם, הדגל הכוזב פיתה את הקורבנות ללחוץ, ובלי משים, לאחזר ולהפעיל קובץ זדוני של Microsoft Word (DOTM). בתבנית הוזרק מסמך פתיל קריא, וכן ההנחיות לזיהום בשלב שני.

המטען הסופי בסוף שרשרת זו היה קובץ ספריית קישורים דינמיים (DLL) שפעל כקליפה הפוכה. המטען אסף וחילץ מידע וספריות מערכת, ויצר התמדה על ידי יצירת משימה ב-Windows Task Scheduler, שתופעל בכל בוקר בשעה 10:10 לפי שעון מקומי.

פיתוח טכניקות התגנבות

לאחר התקפת ה"מבחן" הראשונית שלה, AeroBlade חזרה באמת עם סדרה של טכניקות התגנבות מתקדמות יותר המובנות במטען שלה.

ניתן לייחס את כוח ההישארות של הקבוצה לפחות בחלקה למידת זהירות שהיא עשתה, למשל, בבדיקה חריפה של סימנים אופייניים של סביבת ארגז חול או תוכנת אנטי-וירוס, וגם לדרכים הרבות שבהן היא הסתירה את הקוד הזדוני שלה.

לדוגמה, קובץ ההפעלה השתמש בקידוד מותאם אישית עבור כל מחרוזת, וב-API hashing עם MurmurHash כדי להסתיר כיצד הוא השתמש בפונקציות של Windows. הוא גם מצויד במספר טכניקות נגד פירוק, כולל ערפול זרימת בקרה, שחבור נתונים לקוד, ושימוש בהוראות שבוצעו בקוד מת - קוד שמתבצע, אך לתוצאה שלו אין כל קשר לשאר התוכנית - כדי לזרוק מחוץ לאנליסטים.

בהתחשב בכל העובדות של המקרה, החוקרים סיכמו "במידה גבוהה של ביטחון שמדובר בקמפיין ריגול סייבר מסחרי. מטרתה הייתה ככל הנראה להשיג נראות על המשאבים הפנימיים של היעד שלה כדי לשקול את רגישותו לדרישת כופר עתידית".

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/cyberattacks-data-breaches/aeroblade-cyberthreat-hacks-us-aerospace-company