A Hamasz-párti kibertámadások több közel-keleti célpontot céloznak meg a Pierogi malware-rel

A Hamasz-párti kibertámadások több közel-keleti célpontot céloznak meg a Pierogi malware-rel

Időbélyeg: 15. december 2023. 1:51
Forrás csomópont: 3021137

A Hamasz-párti támadók egy csoportja, a Gaza Cybergang néven ismert, a Pierogi++ backdoor malware új változatát használja palesztin és izraeli célpontok elleni támadásokhoz.

Szerint a Sentinel Labs kutatása, a hátsó ajtó a C++ programozási nyelven alapul, és 2022 és 2023 között kampányokban használták. A támadók a Mikropszia rosszindulatú programokat a közelmúltbeli hackerkampányokban a Közel-Keleten.

"A közelmúltban a Gázai Cybergang tevékenységei következetesen célozzák a palesztin entitásokat, és az izraeli-Hamász háború kezdete óta nem figyeltek meg jelentős változást a dinamikában" - írta a jelentésben Aleksandar Milenkoski, a Sentinel Labs vezető fenyegetéskutatója.

A rosszindulatú programok terjesztése

A hackerek a Pierogi++ kártevőt archív fájlok és rosszindulatú Office-dokumentumok segítségével terjesztették, amelyek palesztin témákat tárgyaltak angolul és arabul is. Ezek Windows-műtermékeket tartalmaztak, például ütemezett feladatokat és segédprogramokat, amelyek között a Pierogi++ hátsó ajtó terjesztésére tervezett, rosszindulatú programokkal sújtott makrók is szerepeltek.

Milenkoski elmondja a Dark Readingnek, hogy a Gaza Cybergang adathalász támadásokat és közösségi média alapú elköteleződéseket használt a rosszindulatú fájlok terjesztésére.

„A rosszindulatú Office-dokumentumokon keresztül terjesztett Pierogi++-t egy Office-makró telepíti, amikor a felhasználó megnyitja a dokumentumot” – magyarázza Milenkoski. „Azokban az esetekben, amikor a hátsó ajtót egy archív fájlon keresztül terjesztik, általában politikai témájú dokumentumként álcázza magát a palesztin ügyekről, és megtéveszti a felhasználót, hogy egy dupla kattintással végrehajtsa azt.”

Számos dokumentum politikai témákat használt áldozatainak csalogatására és a Pierogi++ hátsó kapujának kivégzésére, például: „A szíriai palesztin menekültek helyzete Szíriában menekültek” és „A palesztin kormány által létrehozott fal- és letelepedési ügyekért felelős államminisztérium”.

Az eredeti Pierogi

Ez az új malware-törzs a Pierogi backdoor frissített változata, amelyet a Cybereason kutatói azonosított közel öt évvel ezelőtt.

A kutatók úgy írták le a hátsó ajtót, mint amely lehetővé teszi a „támadók számára, hogy megcélzott áldozatok után kémkedjenek” szociális manipuláció és hamisított dokumentumok segítségével, amelyek gyakran a palesztin kormánnyal, Egyiptommal, a Hezbollahgal és Iránnal kapcsolatos politikai témákon alapulnak.

A fő különbség az eredeti Pierogi backdoor és az újabb változat között, hogy az előbbi a Delphi és a Pascal programozási nyelveket használja, míg az utóbbi a C++-t.

Ennek a hátsó ajtónak a régebbi változatai is használták az ukrán hátsó ajtó parancsokat: „vydalyty”, „Zavantazhyty” és „Ekspertyza”. A Pierogi++ a 'download' és 'screen' angol karakterláncokat használja.

Az ukrán nyelv használata a Pierogi korábbi verzióiban külső részvételre utalhatott a hátsó ajtó létrehozásában és terjesztésében, de a Sentinel Labs nem hiszi el, hogy ez a Pierogi++ esetében igaz.

A Sentinel Labs megfigyelte, hogy bizonyos különbségek ellenére mindkét változat kódolási és funkcionalitási hasonlóságot mutat. Ide tartoznak az azonos hamisított dokumentumok, a felderítési taktikák és a rosszindulatú programok. Például a hackerek mindkét hátsó ajtót használhatják képernyőkép készítéséhez, fájlok letöltéséhez és parancsok végrehajtásához.

A kutatók szerint a Pierogi++ bizonyítja, hogy a Gaza Cybergang támogatja rosszindulatú programjainak „karbantartását és innovációját” annak érdekében, hogy „fejlessze képességeit, és elkerülje az észlelést az ismert rosszindulatú programjellemzők alapján”.

Október óta nincs új tevékenység

Míg a Gaza Cybergang 2012 óta elsősorban palesztin és izraeli áldozatokat céloz meg „hírszerzési és kémkedési” kampányokban, a csoport a gázai konfliktus októberi kezdete óta nem növelte tevékenységének alapértékét. Milenkoski szerint a csoport az elmúlt néhány évben következetesen „elsősorban izraeli és palesztin entitásokat és személyeket” vett célba.

A banda több „szomszédos alcsoportot” foglal magában, akik az elmúlt öt évben technikákat, folyamatokat és rosszindulatú programokat osztottak meg – jegyezte meg a Sentinel Labs.

Ezek közé tartozik a Gaza Cybergang Group 1 (Moleraták), Gaza Cybergang Group 2 (Száraz Vipera, Desert Falcons, APT-C-23) és Gaza Cybergang Group 3 (a mögött álló csoport Műveleti Parlament)” – mondták a kutatók.

Bár a Gaza Cybergang több mint egy évtizede aktív a Közel-Keleten, hackereinek pontos fizikai elhelyezkedése még mindig ismeretlen. Korábbi értesülései alapján azonban Milenkoski úgy véli, hogy valószínűleg szétszórtan élnek az arab nyelvterületen olyan helyeken, mint Egyiptom, Palesztina és Marokkó.

Időbélyeg:

Még több Sötét olvasmány