مایکروسافت: گروه هکری بلیزارد مخفی حملات جاسوسی علیه اوکراین را تشدید کرده است

بخش اطلاعات تهدید مایکروسافت فاش کرد که گروه هکری روسی معروف به بلیزارد مخفی با سایر مجرمان سایبری همکاری کرده تا جاسوسی از سازمان‌های هدف در جنوب آسیا انجام دهد و چندین بک‌دور روی دستگاه‌های اوکراینی نصب نماید.

به گزارش سرویس امنیت تکنا، این تیم تأکید کرده که بلیزارد مخفی از حملات بازیگران تهدید روسی به عنوان ابزاری برای استقرار بدافزار ربات آمیدی و بک‌دور‌ها روی سیستم‌های اوکراینی با اهداف جاسوسی سوءاستفاده می‌کند.

بررسی‌ها نشان می‌دهد که بلیزارد مخفی برای ارتقای توانایی نظارت و انجام حملات، نقاط ورود به دستگاه‌های اوکراینی را از بازیگران تهدید دیگر تحت حمایت دولت روسیه خریداری یا دزدیده است. دسترسی اولیه معمولا از طریق حملات فیشینگ موثر حاصل شده و سپس به صورت جانبی از طریق به خطر انداختن سرور‌ها و دستگاه‌های لبه در شبکه‌های مورد نظر نفوذ انجام می‌شود.

پس از دستیابی به دسترسی اولیه، مشاهده شده که بلیزارد مخفی از طریق بدافزار سرویس‌دهنده آمیدی یک اسکریپت پاورشل را مستقر می‌کند که امکان مشاهده پیکر‌بندی دستگاه و جمع‌آوری اطلاعات از طریق سرور فرمان و کنترل را فراهم می‌آورد.

سپس آمیدی نوع آنتی‌ویروس نصب‌شده را جمع‌آوری و ارسال می‌کند و پیش از نصب دو پلاگین روی دستگاه مقصد برای استخراج داده‌های کلیپ‌بورد و اعتبارنامه‌های مرورگر، آن‌ها را مستقر می‌سازد.

بلیزارد مخفی با اولویت دادن آدرس‌های آی‌پی استارلینک، دستگاه‌های کاربر این سرویس را هدف قرار می‌دهد و پیش از سرقت داده‌هایی نظیر ساختار دایرکتوری، اطلاعات سیستم، جلسات فعال، جدول مسیریابی، اشتراک‌گذاری‌های، گروه‌های امنیتی فعال و تنظیمات زمان، از یک الگوریتم سفارشی برای استخراج اطلاعات بهره می‌برد.

تیم امنیت سایبری مایکروسافت مشاهده کرده که از یک خط فرمان برای جمع‌آوری اطلاعات از ویندوز دفندر استفاده می‌شود تا مشخص گردد آیا نسخه‌های قبلی بدافزار آمیدی روی سیستم شناسایی شده‌اند یا خیر، و از این طریق اهمیت دستگاه هدف ارزیابی می‌شود.

بلیزارد مخفی به طور فعال تکنیک‌های مقابله خود را برای هدف قرار دادن خاص دستگاه‌های نظامی اوکراین تطبیق می‌دهد و مایکروسافت بر این باور است که با احتمال زیاد از نفوذ اولیه برای دستیابی به دسترسی استراتژیک در سطح وزارتخانه‌ها سوءاستفاده می‌شود.