ผู้โจมตีทางไซเบอร์ของกลุ่ม Pro-Hamas มุ่งเป้าไปที่มัลแวร์ 'Pierogi' ไปยังเป้าหมายหลายแห่งในตะวันออกกลาง

กลุ่มผู้โจมตีที่สนับสนุนกลุ่มฮามาสที่รู้จักกันในชื่อ Gaza Cybergang กำลังใช้รูปแบบใหม่ของมัลแวร์ประตูหลัง Pierogi++ เพื่อโจมตีเป้าหมายชาวปาเลสไตน์และอิสราเอล

ตามที่ งานวิจัยจาก Sentinel Labsแบ็คดอร์นั้นใช้ภาษาการเขียนโปรแกรม C++ และถูกนำมาใช้ในแคมเปญระหว่างปี 2022 ถึง 2023 ผู้โจมตียังได้ใช้ ไมโครปเซีย มัลแวร์ในแคมเปญแฮ็คล่าสุดทั่วตะวันออกกลาง

“กิจกรรมล่าสุดของฉนวนกาซาไซเบอร์กังแสดงให้เห็นถึงการกำหนดเป้าหมายอย่างต่อเนื่องไปยังหน่วยงานชาวปาเลสไตน์ โดยไม่มีการเปลี่ยนแปลงที่สำคัญในพลวัตนับตั้งแต่เริ่มสงครามอิสราเอล-ฮามาส” อเล็กซานดาร์ มิเลนโกสกี้ นักวิจัยอาวุโสด้านภัยคุกคามของ Sentinel Labs เขียนในรายงาน

การกระจายมัลแวร์

แฮกเกอร์เผยแพร่มัลแวร์ Pierogi++ โดยใช้ไฟล์เก็บถาวรและเอกสาร Office ที่เป็นอันตรายซึ่งกล่าวถึงหัวข้อชาวปาเลสไตน์ทั้งภาษาอังกฤษและภาษาอาหรับ สิ่งเหล่านี้มีสิ่งประดิษฐ์ของ Windows เช่น งานที่กำหนดเวลาไว้และแอพพลิเคชั่นยูทิลิตี้ ซึ่งรวมถึงมาโครที่กำจัดมัลแวร์ซึ่งออกแบบมาเพื่อแพร่กระจายแบ็คดอร์ Pierogi++

Milenkoski บอกกับ Dark Reading ว่า Gaza Cybergang ใช้การโจมตีแบบฟิชชิ่งและการมีส่วนร่วมทางโซเชียลมีเดียเพื่อเผยแพร่ไฟล์ที่เป็นอันตราย

“เผยแพร่ผ่านเอกสาร Office ที่เป็นอันตราย Pierogi++ จะถูกใช้งานโดยแมโคร Office เมื่อผู้ใช้เปิดเอกสาร” Milenkoski อธิบาย “ในกรณีที่แบ็คดอร์ถูกเผยแพร่ผ่านไฟล์เก็บถาวร มันมักจะปลอมตัวเป็นเอกสารที่มีธีมทางการเมืองเกี่ยวกับกิจการของชาวปาเลสไตน์ โดยหลอกลวงให้ผู้ใช้ดำเนินการผ่านการดับเบิลคลิก”

เอกสารหลายฉบับใช้ประเด็นทางการเมืองเพื่อล่อเหยื่อและดำเนินการลับๆ ของ Pierogi++ เช่น: “สถานการณ์ของผู้ลี้ภัยชาวปาเลสไตน์ในซีเรีย ผู้ลี้ภัยในซีเรีย” และ “กระทรวงกิจการด้านกำแพงและการตั้งถิ่นฐานที่จัดตั้งขึ้นโดยรัฐบาลปาเลสไตน์”

เปียโรกีดั้งเดิม

มัลแวร์สายพันธุ์ใหม่นี้เป็นเวอร์ชันอัปเดตของแบ็คดอร์ Pierogi ซึ่งนักวิจัยจาก Cybereason ระบุ เกือบห้าปีที่แล้ว

นักวิจัยเหล่านั้นอธิบายว่าประตูหลังช่วยให้ “ผู้โจมตีสามารถสอดแนมเหยื่อที่เป็นเป้าหมายได้” โดยใช้วิศวกรรมทางสังคมและเอกสารปลอมแปลง ซึ่งมักมีพื้นฐานมาจากหัวข้อทางการเมืองที่เกี่ยวข้องกับรัฐบาลปาเลสไตน์ อียิปต์ ฮิซบอลเลาะห์ และอิหร่าน

ข้อแตกต่างที่สำคัญระหว่างแบ็คดอร์ Pierogi ดั้งเดิมและเวอร์ชันใหม่กว่าก็คือ เวอร์ชันแรกใช้ภาษาโปรแกรม Delphi และ Pascal ในขณะที่เวอร์ชันหลังใช้ C++

รูปแบบที่เก่ากว่าของแบ็คดอร์นี้ยังใช้คำสั่งแบ็คดอร์ภาษายูเครน 'vydalyty', 'Zavantazhyty' และ 'Ekspertyza' Pierogi++ ใช้สตริงภาษาอังกฤษ 'download' และ 'screen'

การใช้ภาษายูเครนใน Pierogi เวอร์ชันก่อนหน้านี้อาจบ่งบอกถึงการมีส่วนร่วมภายนอกในการสร้างและการแจกจ่ายประตูหลัง แต่ Sentinel Labs ไม่เชื่อว่านี่เป็นกรณีของ Pierogi++

Sentinel Labs สังเกตว่าทั้งสองเวอร์ชันมีการเข้ารหัสและฟังก์ชันการทำงานที่คล้ายคลึงกัน แม้ว่าจะมีความแตกต่างบางประการก็ตาม ซึ่งรวมถึงเอกสารปลอมแปลงที่เหมือนกัน กลยุทธ์การลาดตระเวน และสตริงมัลแวร์ ตัวอย่างเช่น แฮกเกอร์สามารถใช้แบ็คดอร์ทั้งสองเพื่อจับภาพหน้าจอ ดาวน์โหลดไฟล์ และดำเนินการคำสั่ง

นักวิจัยกล่าวว่า Pierogi++ เป็นข้อพิสูจน์ว่า Gaza Cybergang กำลังสนับสนุน "การบำรุงรักษาและนวัตกรรม" ของมัลแวร์เพื่อ "เพิ่มขีดความสามารถและหลบเลี่ยงการตรวจจับตามคุณลักษณะของมัลแวร์ที่รู้จัก"

ไม่มีกิจกรรมใหม่ตั้งแต่เดือนตุลาคม

แม้ว่า Gaza Cybergang มุ่งเป้าไปที่เหยื่อชาวปาเลสไตน์และอิสราเอลในแคมเปญ "การรวบรวมข่าวกรองและการจารกรรม" ส่วนใหญ่มาตั้งแต่ปี 2012 แต่กลุ่มนี้ไม่ได้เพิ่มปริมาณกิจกรรมพื้นฐานนับตั้งแต่เริ่มความขัดแย้งในฉนวนกาซาในเดือนตุลาคม มิเลนโกสกี้กล่าวว่ากลุ่มนี้ตั้งเป้าไปที่ “หน่วยงานและบุคคลชาวอิสราเอลและปาเลสไตน์เป็นหลัก” อย่างต่อเนื่องในช่วงไม่กี่ปีที่ผ่านมา

กลุ่มอาชญากรนี้ประกอบด้วย “กลุ่มย่อยที่อยู่ติดกัน” หลายกลุ่มที่แบ่งปันเทคนิค กระบวนการ และมัลแวร์ในช่วงห้าปีที่ผ่านมา Sentinel Labs กล่าว

“ได้แก่ Gaza Cybergang Group 1 (โมเลอรัต), กาซาไซเบอร์กังกลุ่ม 2 (ไวเปอร์แห้งแล้ง, Desert Falcons, APT-C-23) และ Gaza Cybergang Group 3 (กลุ่มที่อยู่เบื้องหลัง รัฐสภาปฏิบัติการ)” นักวิจัยกล่าว

แม้ว่า Gaza Cybergang จะมีบทบาทในตะวันออกกลางมานานกว่าทศวรรษ แต่ก็ยังไม่ทราบตำแหน่งทางกายภาพที่แน่นอนของแฮกเกอร์ อย่างไรก็ตาม จากข้อมูลข่าวกรองก่อนหน้านี้ มิเลนโคสกีเชื่อว่าพวกมันน่าจะกระจัดกระจายไปทั่วโลกที่พูดภาษาอาหรับในสถานที่ต่างๆ เช่น อียิปต์ ปาเลสไตน์ และโมร็อกโก

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• PlatoData.Network Vertical Generative Ai เพิ่มพลังให้กับตัวเอง เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. Web3 อัจฉริยะ ขยายความรู้ เข้าถึงได้ที่นี่.
• เพลโตESG. คาร์บอน, คลีนเทค, พลังงาน, สิ่งแวดล้อม แสงอาทิตย์, การจัดการของเสีย. เข้าถึงได้ที่นี่.
• เพลโตสุขภาพ เทคโนโลยีชีวภาพและข่าวกรองการทดลองทางคลินิก เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/cyberattacks-data-breaches/pro-hamas-attackers-hit-multiple-middle-eastern-targets