Những kẻ tấn công mạng ủng hộ Hamas nhắm phần mềm độc hại 'Pierogi' vào nhiều mục tiêu ở Trung Đông

Những kẻ tấn công mạng ủng hộ Hamas nhắm phần mềm độc hại 'Pierogi' vào nhiều mục tiêu ở Trung Đông

Dấu thời gian: ngày 15 tháng 2023 năm 1 51:XNUMX chiều
Nút nguồn: 3021137

Một nhóm những kẻ tấn công ủng hộ Hamas được gọi là Gaza Cybergang đang sử dụng một biến thể mới của phần mềm độc hại cửa sau Pierogi++ để tiến hành các cuộc tấn công vào các mục tiêu của người Palestine và Israel.

Theo nghiên cứu từ Phòng thí nghiệm Sentinel, cửa sau dựa trên ngôn ngữ lập trình C++ và đã được sử dụng trong các chiến dịch từ năm 2022 đến năm 2023. Những kẻ tấn công cũng đã sử dụng vi mô phần mềm độc hại trong các chiến dịch hack gần đây trên khắp Trung Đông.

Aleksandar Milenkoski, nhà nghiên cứu mối đe dọa cấp cao của Sentinel Labs, viết trong báo cáo: “Các hoạt động gần đây của Gaza Cybergang cho thấy mục tiêu nhất quán là nhắm vào các thực thể Palestine, không có thay đổi đáng kể nào về động lực kể từ khi bắt đầu cuộc chiến Israel-Hamas”.

Phân phối phần mềm độc hại

Tin tặc đã phát tán phần mềm độc hại Pierogi++ bằng cách sử dụng các tệp lưu trữ và tài liệu Office độc ​​hại thảo luận về các chủ đề của người Palestine bằng cả tiếng Anh và tiếng Ả Rập. Chúng chứa các thành phần của Windows như các tác vụ theo lịch trình và các ứng dụng tiện ích, bao gồm các macro chứa phần mềm độc hại được thiết kế để phát tán cửa hậu Pierogi++.

Milenkoski nói với Dark Reading rằng Gaza Cybergang đã sử dụng các cuộc tấn công lừa đảo và tương tác trên mạng xã hội để lưu hành các tệp độc hại.

Milenkoski giải thích: “Được phân phối thông qua một tài liệu Office độc ​​hại, Pierogi++ được macro Office triển khai khi người dùng mở tài liệu. “Trong trường hợp cửa sau được phát tán thông qua một tệp lưu trữ, nó thường ngụy trang thành một tài liệu có chủ đề chính trị về các vấn đề của người Palestine, đánh lừa người dùng thực thi nó thông qua hành động nhấp đúp.”

Nhiều tài liệu đã sử dụng các chủ đề chính trị để dụ dỗ nạn nhân và thực hiện cửa sau Pierogi++, chẳng hạn như: “Tình hình của người tị nạn Palestine ở người tị nạn Syria ở Syria” và “Bộ Nhà nước về Tường và Giải quyết các vấn đề do chính phủ Palestine thành lập”.

Pierogi gốc

Chủng phần mềm độc hại mới này là phiên bản cập nhật của backdoor Pierogi, các nhà nghiên cứu tại Cybereason xác định gần năm năm trước.

Những nhà nghiên cứu đó mô tả cửa sau cho phép “những kẻ tấn công theo dõi các nạn nhân mục tiêu” bằng cách sử dụng kỹ thuật xã hội và các tài liệu giả mạo, thường dựa trên các chủ đề chính trị liên quan đến chính phủ Palestine, Ai Cập, Hezbollah và Iran.

Sự khác biệt chính giữa backdoor Pierogi ban đầu và biến thể mới hơn là biến thể trước sử dụng ngôn ngữ lập trình Delphi và Pascal, trong khi biến thể sau sử dụng C++.

Các biến thể cũ hơn của cửa hậu này cũng sử dụng các lệnh cửa sau tiếng Ukraina ‘vydalyty’, ‘Zavantazhyty’ và ‘Ekspertyza’. Pierogi++ sử dụng chuỗi tiếng Anh 'tải xuống' và 'màn hình'.

Việc sử dụng tiếng Ukraina trong các phiên bản trước của Pierogi có thể gợi ý sự tham gia của bên ngoài vào việc tạo và phân phối cửa sau, nhưng Sentinel Labs không tin trường hợp này xảy ra với Pierogi++.

Sentinel Labs quan sát thấy rằng cả hai biến thể đều có những điểm tương đồng về mã hóa và chức năng mặc dù có một số khác biệt. Chúng bao gồm các tài liệu giả mạo giống hệt nhau, chiến thuật trinh sát và chuỗi phần mềm độc hại. Chẳng hạn, tin tặc có thể sử dụng cả hai cửa sau để sàng lọc, tải xuống tệp và thực thi lệnh.

Các nhà nghiên cứu cho biết Pierogi++ là bằng chứng cho thấy Gaza Cybergang đang tăng cường “bảo trì và đổi mới” phần mềm độc hại của mình nhằm “nâng cao khả năng và tránh bị phát hiện dựa trên các đặc điểm phần mềm độc hại đã biết”.

Không có hoạt động mới kể từ tháng 10

Trong khi Gaza Cybergang nhắm mục tiêu vào các nạn nhân người Palestine và Israel trong các chiến dịch chủ yếu là “thu thập thông tin tình báo và gián điệp” kể từ năm 2012, nhóm này đã không tăng khối lượng hoạt động cơ bản kể từ khi bắt đầu cuộc xung đột ở Gaza vào tháng XNUMX. Milenkoski cho biết nhóm này đã liên tục nhắm mục tiêu vào “các thực thể và cá nhân chủ yếu là Israel và Palestine” trong vài năm qua.

Sentinel Labs lưu ý rằng nhóm này bao gồm một số “nhóm phụ liền kề” đã chia sẻ các kỹ thuật, quy trình và phần mềm độc hại trong 5 năm qua.

“Chúng bao gồm Nhóm Gaza Cybergang 1 (Nốt ruồi), Nhóm Gaza Cybergang 2 (Rắn lục khô cằn, Desert Falcons, APT-C-23) và Gaza Cybergang Group 3 (nhóm đứng sau Quốc hội hoạt động), các nhà nghiên cứu cho biết.

Mặc dù Gaza Cybergang đã hoạt động ở Trung Đông hơn một thập kỷ nhưng vẫn chưa xác định được vị trí thực tế chính xác của các tin tặc tại đây. Tuy nhiên, dựa trên thông tin tình báo trước đó, Milenkoski tin rằng họ có khả năng phân tán khắp thế giới nói tiếng Ả Rập ở những nơi như Ai Cập, Palestine và Maroc.

Dấu thời gian:

Thêm từ Đọc tối