Hamasi pooldavad küberründajad sihivad Pierogi pahavara mitmele Lähis-Ida sihtmärgile

Rühm Hamasi-meelseid ründajaid, keda tuntakse Gaza Cybergangina, kasutab Palestiina ja Iisraeli sihtmärkide vastu ründamiseks Pierogi++ tagaukse pahavara uut varianti.

Järgi Sentinel Labsi uuringud, põhineb tagauks programmeerimiskeelel C++ ja seda on kasutatud kampaaniates aastatel 2022–2023. Ründajad on kasutanud ka Mikropsia pahavara hiljutistes häkkimiskampaaniates Lähis-Idas.

"Hiljutised Gaza Cybergangi tegevused näitavad järjekindlat sihikule Palestiina üksuste vastu, kusjuures Iisraeli-Hamasi sõja algusest ei ole täheldatud olulisi muutusi dünaamikas," kirjutas Sentinel Labsi ohuteadlane Aleksandar Milenkoski aruandes.

Pahavara levitamine

Häkkerid levitasid Pierogi++ pahavara, kasutades arhiivifaile ja pahatahtlikke Office'i dokumente, mis arutasid Palestiina teemasid nii inglise kui ka araabia keeles. Need sisaldasid Windowsi artefakte, nagu ajastatud ülesanded ja utiliidirakendused, mis sisaldasid pahavaraga seotud makrosid, mis olid loodud Pierogi++ tagaukse levitamiseks.

Milenkoski räägib Dark Readingile, et Gaza Cybergang kasutas pahatahtlike failide levitamiseks andmepüügirünnakuid ja sotsiaalmeediapõhiseid seotusi.

"Pahatahtliku Office'i dokumendi kaudu levitatud Pierogi++ juurutatakse Office'i makro abil, kui kasutaja dokumendi avab," selgitab Milenkoski. "Juhul, kui tagauks levitatakse arhiivifaili kaudu, maskeerub see tavaliselt poliitilise teemaga dokumendiks Palestiina asjade kohta, pettes kasutajat seda topeltklõpsuga täitma."

Paljudes dokumentides kasutati selle ohvrite meelitamiseks ja Pierogi++ tagaukse hukkamiseks poliitilisi teemasid, näiteks: "Palestiina põgenike olukord Süürias, pagulased Süürias" ja "Palestiina valitsuse asutatud müüri- ja asundusasjade riigiministeerium."

Algne Pierogi

See uus pahavara tüvi on Pierogi tagaukse värskendatud versioon, mida Cybereasoni teadlased tuvastatud peaaegu viis aastat tagasi.

Need teadlased kirjeldasid tagaust kui võimalust "ründajatel sihitud ohvrite järele luurata", kasutades sotsiaalset manipuleerimist ja võltsitud dokumente, mis põhinevad sageli Palestiina valitsuse, Egiptuse, Hezbollah' ja Iraaniga seotud poliitilistel teemadel.

Peamine erinevus algse Pierogi tagaukse ja uuema variandi vahel seisneb selles, et esimene kasutab Delphi ja Pascali programmeerimiskeeli, teine ​​aga C++.

Selle tagaukse vanemad variandid kasutasid ka Ukraina tagaukse käske „vydalyty”, „Zavantazhyty” ja „Ekspertyza”. Pierogi++ kasutab ingliskeelseid stringe "allalaadimine" ja "ekraan".

Ukraina keele kasutamine Pierogi eelmistes versioonides võis viidata välisele osalemisele tagaukse loomisel ja levitamisel, kuid Sentinel Labs ei usu, et see Pierogi++ puhul nii on.

Sentinel Labs täheldas, et vaatamata mõningatele erinevustele on mõlemal variandil kodeerimise ja funktsionaalsuse sarnasusi. Nende hulka kuuluvad identsed võltsitud dokumendid, luuretaktikad ja pahavara stringid. Näiteks saavad häkkerid kasutada ekraanipiltide tegemiseks, failide allalaadimiseks ja käskude täitmiseks mõlemat tagaust.

Teadlased ütlesid, et Pierogi++ on tõend selle kohta, et Gaza Cybergang toetab oma pahavara "hooldust ja uuendusi", et "parandada selle võimalusi ja vältida tuvastamist teadaolevate pahavara omaduste põhjal".

Alates oktoobrist uusi tegevusi pole

Kuigi Gaza Cybergang on alates 2012. aastast võtnud sihikule Palestiina ja Iisraeli ohvrid peamiselt luureandmete kogumise ja spionaaži kampaaniates, ei ole rühmitus alates Gaza konflikti algusest oktoobris oma tegevusmahtu suurendanud. Milenkoski sõnul on rühmitus viimastel aastatel olnud järjekindlalt sihtmärgiks "peamiselt Iisraeli ja Palestiina üksused ja üksikisikud".

Sentinel Labs märkis, et jõuk koosneb mitmest "külgnevast alamrühmast", kes on viimase viie aasta jooksul jaganud tehnikaid, protsesse ja pahavara.

"Nende hulka kuulub Gaza Cybergang Group 1 (Moleraadid), Gaza Cybergang Group 2 (Kuiv rästik, Desert Falcons, APT-C-23) ja Gaza Cybergang Group 3 (tagapool Operatsioon Parlament),“ ütlesid teadlased.

Kuigi Gaza Cybergang on Lähis-Idas tegutsenud juba üle kümne aasta, pole selle häkkerite täpne füüsiline asukoht siiani teada. Varasema luureandmete põhjal usub Milenkoski aga, et nad on tõenäoliselt hajutatud kogu araabiakeelses maailmas sellistes kohtades nagu Egiptus, Palestiina ja Maroko.

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• PlatoData.Network Vertikaalne generatiivne Ai. Jõustage ennast. Juurdepääs siia.
• PlatoAiStream. Web3 luure. Täiustatud teadmised. Juurdepääs siia.
• PlatoESG. Süsinik, CleanTech, Energia, Keskkond päikeseenergia, Jäätmekäitluse. Juurdepääs siia.
• PlatoTervis. Biotehnoloogia ja kliiniliste uuringute luureandmed. Juurdepääs siia.
• Allikas: https://www.darkreading.com/cyberattacks-data-breaches/pro-hamas-attackers-hit-multiple-middle-eastern-targets