معرفی کمپین فیشینگ به نام Aggah

25 مرداد 1400 معرفی کمپین فیشینگ به نام Aggah

روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ محققین دریافته‌اند که عاملین تهدید دارند با کمپین جدید فیشینگ خود که Warzone RAT - یک ابزار سرقت داده - را ارسال می‌کند از وبسایت‌های WordPress برای هدف قرار دادن تولیدکنندگان در آسیا استفاده می‌کنند. Warzone RAT اکنون در تالارهای مختلف مجرمان سایبری وجود دارند و بزهکاران خیلی راحت می‌توانند نسبت به خرید آن‌ اقدام کنند. در ادامه با ما همراه بمانید تا شما را از چند و چون این ماجرا باخبر سازیم.

بر اساس پژوهش جدیدی که از سوی شرکت امنیت واکنش و شناسایی تهدید به نام Anomali صورت گرفته، نام این گروه تهدید Aggah است که گمان می‌رود به کشور پاکستان مربوط شود. این گروه اولین بار در مارس 2019 شناسایی شد و کارش ارسال و تحویل RAT در کمپینی است که هدفش توزیع بدافزار به کشورهای تولیدکننده در تایوان و کره جنوبی است.

این کمپین که اوایل جولای فعالیت خود را شروع کرد از آدرس‌های ایمیل جعلی استفاده می‌کند و مشتریان قانونی این تولیدکنندگان را فریب می‌دهد. محققین می‌گویند این کار  Aggah است. تارا گولد و روری گولد از Anomali در گزارشی در خصوص این کمپین چنین نوشتند: «آدرس‌های ایمیل جعلی B2B[1] در مقابل صنعت مور هدف قرار گرفته‌شده فعالیتی است که می‌شود آن را پایاپای با Aggah دید». محققین واحد 42  Palo Alto Network ابتدا Aggah را مارس 2019 کشف کردند آن هم در کمپینی که نهادهای داخل امارات متحده عربی را هدف قرار داده بود –بماند که این کمپین بعدها به عنوان کمپین فیشینگ جهانی طراحی‌شده مخصوص ارسال RevengeRAT شناخته شد. این گروه که معمولاً هدفش سرقت داده از تارگت‌هاست اولین بار گمان می‌رفت به گروه Gorgo–یک گروه تابستانی معروف به هدف قرار دادن دولت‌های غربی- ربط داشته باشد. البته این فرضیه هرگز قطعی نشد اما محققین موافقند که این گروهِ اردو زبان در اصل به کشور پاکستان برمی‌گردد.

از میان تارگت‌های آخرین کمپین Aggah می‌توان به Fon-star International Technology شرکت تولیدکننده تایوانی، FomoTech شرکت مهندسی تایوانی و Hyundai Electric یک شرکت برق کره‌ای اشاره کرد. عاملین تهدید اغلب تولیدکنندگان جهانی و سایر تأمین‌کنندگان را نه تنها برای حمله بدان‌ها بلکه همچنین برای نفوذ به برخی از مشتریان رده‌بالا و مهم آن‌ها مورد هدف قرار می‌دهند. نمونه‌اش همین ماه آوریل دیده شد؛ زمانیکه گروهی به نام REvil (اکنون دیگر فعالیتی ندارد) با موفقیت باج‌افزاری را در شرکت کوانتانا (تأمین‌کننده تایوانی کامپیوتر اپل) درست کمی پیش از رویداد بزرگ لانچ محصول شرکت اپل به کار گرفت. REvil فایل‌ها را از کوانتانا سرقت کرد (این فایل‌ها شامل برخی برنامه‌ کارهای محصولات جدید اپل می‌شد). اپراتورها تهدید شده بودند به دادن هر چه بیشتر اطلاعات در مورد محصولات جدید. از این طریق بزهکاران می‌توانستند پیش از رویداد اپل این شرکت را حسابی تلکه کند.

اکسپلویت کردن سایت‌های دستکاری‌شده‌ی WordPress

آخرین کمپین فیشینگ Aggah با یک ایمیل سفارشی در پوشش FoodHub.co.uk–سرویس تحویل غذای آنلاین واقع در انگلستان- آغاز می‌شود. بدنه ایمیل شامل سفارش و اطلاعات حمل و نقل و نیز یک پیوست فایل پاورپوینت به نام Purchase order 4500061977,pdf.ppam می‌شود. این فایل پاورپوینت در خود ماکروهای مبهم‌سازی‌شده جای داده است که برای اجرای جاواسکریپت از وبسایت برجسته اما دستکاری‌شده از افزونه‌ی mshta.exe استفاده می‌کند. به گفته‌ی محققین، Hoteloscar.in وبسایت قانونی برای هتلی است در هند که طوری دستکاری شده بود که میزبان اسکریپت‌های آلوده باشد. محققین در ادامه چنین موضوع را شرح می‌دهند: «در این کمپین، ما وبسایت‌های قانونی را شاهده بودیم که برای میزبانی اسکریپت‌های آلوده استفاده می‌شدند. بیشتر اینها هم در سایت‌های وردپرس ظاهر می‌شدند و این نشان می‌دهد گروه مذکور شاید آسیب‌پذیری  WordPress  را اکسپلیت کرده باشد. جاوااسکریپت از تکنیک‌های ضد دیباگ همچون setInterval برای شناسایی کارکرد یک دیباگر مبتنی بر زمان اجرا استفاده می‌کند». این کار باعث می‌شود درصورتیکه دیباگر شناسایی گردد setInterval به لوپ بی سر و ته ارسال شود. بعد از چک‌های دیباگینگ، اسکریپت به http://dlsc.af/wp-admin/buy/5[.]html برگشت- وبسایت دستکاری‌شده‌ی دیگر که کارش تحویل غذا بوده و مکانش هم در کشور افغانستان. در نهایت، جاوااسکریپت از پاورشل برای لود کردن پی‌لودهای کدگذاری‌شده استفاده می‌کند - همینطور پی‌لود نهایی که [2]Warzone RAT باشد. محققین اینطور نوشتند، «وارزون یک بدافزار کالایی است با نسخه‌های کرک‌شده که روی گیت‌هاب میزبانی می‌شوند. RAT کد را از سارق  Ave Maria استفاده مجدد می‌کند». قابلیت‌های Warzone RAT عبارتند از افزایش مزیت، کی‌لاگینگ، شل ریموت، دانلد و اجرای فایل‌ها، فایل منیجر و مقاومت روی شبکه.

«برای دور زدن UAC[3]، مسیر Windows Defender به فرمان پاورشل اضافه شد تا آن را از لیست خط بزند. افزایش سطح مزیت در وارزون نیز با استفاده از sdclt.exe–یک ابزار بک‌آپ ویندوزی در ویندوز 10- صورت گرفت. تیم Anomali هچنین به تعدادی تاکتیک بکاررفته در این کمپین اشاره می‌کند که گواهی است بر وجود و مشارکت Aggah. اینها عبارتند از استفاده از داکیومنت‌های آلوده و فایل‌های مخرب پاورپوینت حاوی ماکروها؛ پی‌لودهای مبهم‌سازی‌شده در فایل پاورشل که معمولاً کدگذاری می‌شود؛ استفاده از اسکریپت‌های جاگذاری‌شده در وبسایت‌ها، موضوعات سفارش و اطلاعات پرداخت و استفاده از آدرس‌های ایمیل B2B در صنعت تارگت که پیشتر بدان پرداختیم.

 

[1] business-to-business

[2]بدافزار مبتنی بر C+++ قابل خرید در دارک‌وب

[3]  User Account Control

 

منبع: کسپرسکی آنلاین (ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.

محصولات مرتبط

  • Kaspersky Internet Security

    ایمن بمانید- هرآنچه در محل کار و خانه انجام می‌دهید هرآنچه در محیط آنلاین انجام می‌دهید- روی دستگاه‌های پی‌سی، مک و اندروید- بسته‌ی امنیتی پیشرفته و تک‌لایسنسیِ ما به شما کمک ...

    9,447,000 ریال
    خرید
  • Kaspersky Internet Security for Android

    امنیت پیشرفته‌ای که همیشه همراه شماست بخش مهمی از زندگی اکثر ما اکنون روی گوشی‌ها و تبلت‌هاست- پس به امنیت موبایلی نیاز دارید که شما را همیشه امن نگه ...

    3,147,000 ریال
    خرید
  • Kaspersky Total Security

    قوی‌ترین و پرفروش‌ترین مجموعه‌‌ امنیتی ما امنیت خانواده چنددستگاهه مجهز به آنتی‌ویروس، ضدباج‌افزار، امنیت وبکم، مدیر کلمه‌عبور و 87 فناوری دیگر، همگی با یک لایسنس. ...

    12,597,000 ریال
    خرید
  • Kaspersky Cloud Password Manager

    Kaspersky Cloud Password Manager ابزار مدیریت کلمه عبور ابری کسپرسکی (KCPM) ضمن ذخیره ایمن تمامی کلمات عبور مورد استفاده شما برای وبسایت‌ها، اپلیکیشن‌ها، و شبکه‌های اجتماعی آنها را در تمامی ...

    4,722,000 ریال
    خرید
  • Kaspersky Safe Kids

    شما می توانید بر ارتباطات اینترنتی کودکان از قبیل فعالیتهای عمومی در فیسبوک، کنترل تماسها و پیامها از طریق دستگاههای اندرویدی نظارت داشته باشید. کمک شما به کودکان بهترین راهنمایی برای آنها ...

    4,722,000 ریال
    خرید
  • Kaspersky Antivirus

    بهترین آنتی‌ویروس ما برای ویندوز پی‌سی شما جدیدترین ویروس‌ها، باج افزارها، جاسوس‌افزارها، رمزگرها و غیره را بلاک کرده و کمک می‌کند جلوی بدافزار ماینینگِ رمزارز -که به ...

    6,297,000 ریال
    خرید
  • Kaspersky Small Office Security

    محافظت در حین کار Kaspersky Small Office Security به طور خاص برای سازمان‌هایی طراحی شده است که 5 تا 25 دستگاه کامپیوتر در خود جای داده‌اند. نصب آن بسیار آسان است؛ مدیریت آن ...

    11,340,000 ریال
    خرید

نظر خودتان را ارسال کنید


کاربر گرامی چنانچه تمایل دارید، نقد یا نظر شما به نام خودتان در سایت ثبت شود، لطفاً وارد سایت شوید.
*نظر
کلیه حقوق مادی و معنوی این سایت محفوظ و متعلق به شرکت گسترش خدمات تجارت الکترونیک ایرانیان است و هر گونه کپی برداری از آن پیگرد قانونی دارد