ঘোলা জল: কীভাবে মাডিওয়াটারের হ্যাকাররা সামরিক ইলেকট্রনিক্সের একটি তুর্কি নির্মাতাকে আক্রমণ করেছিল

ইরানের সরকারপন্থী হ্যাকাররা বড় সমস্যায় পড়েছে। পুরো বসন্ত জুড়ে, অজানা লোকেরা টেলিগ্রামে "গোপন ফাঁস" প্রকাশ করেছে - ইরান সরকারের সাথে যুক্ত এপিটি গ্রুপগুলির তথ্য - তেল তামাশা и পঙ্কিল জল — তাদের হাতিয়ার, শিকার, সংযোগ। তবে সবার সম্পর্কে নয়। এপ্রিল মাসে, গ্রুপ-আইবি বিশেষজ্ঞরা তুর্কি কর্পোরেশন ASELSAN A.Ş-এর মেইলিং ঠিকানাগুলির একটি ফাঁস আবিষ্কার করেন, যা তুর্কি সশস্ত্র বাহিনীর জন্য কৌশলগত সামরিক রেডিও এবং ইলেকট্রনিক প্রতিরক্ষা ব্যবস্থা তৈরি করে। আনাস্তাসিয়া টিখোনোভা, গ্রুপ-আইবি অ্যাডভান্সড থ্রেট রিসার্চ টিম লিডার, এবং নিকিতা রোস্তভসেভ, Group-IB-এর জুনিয়র বিশ্লেষক, ASELSAN A.Ş-এর আক্রমণের পথ বর্ণনা করেছেন এবং একজন সম্ভাব্য অংশগ্রহণকারীকে খুঁজে পেয়েছেন পঙ্কিল জল.

টেলিগ্রামের মাধ্যমে আলোকসজ্জা

ইরানি এপিটি গ্রুপের ফাঁস একটি নির্দিষ্ট ল্যাব ডুখতেগানের সাথে শুরু হয়েছিল সবার জন্য উন্মুক্ত ছয়টি APT34 টুলের সোর্স কোড (ওরফে অয়েলরিগ এবং হেলিক্সকিটেন), অপারেশনে জড়িত আইপি ঠিকানা এবং ডোমেন প্রকাশ করেছে, সেইসাথে ইতিহাদ এয়ারওয়েজ এবং এমিরেটস ন্যাশনাল অয়েল সহ 66 জন হ্যাকারের শিকারের তথ্য প্রকাশ করেছে। ল্যাব দুখতেগান গ্রুপের অতীতের কার্যক্রম এবং ইরানের তথ্য ও জাতীয় নিরাপত্তা মন্ত্রকের কর্মীদের সম্পর্কে তথ্যও ফাঁস করেছে যারা গ্রুপের অপারেশনের সাথে জড়িত বলে অভিযোগ রয়েছে। OilRig একটি ইরান-সংযুক্ত APT গ্রুপ যা প্রায় 2014 সাল থেকে বিদ্যমান এবং সরকার, আর্থিক এবং সামরিক সংস্থাগুলির পাশাপাশি মধ্যপ্রাচ্য এবং চীনের শক্তি এবং টেলিযোগাযোগ সংস্থাগুলিকে লক্ষ্য করে।

OilRig উন্মোচিত হওয়ার পরে, ফাঁস চলতে থাকে - ইরানের আরেকটি রাষ্ট্রপন্থী গ্রুপ, মাডিওয়াটারের কার্যকলাপ সম্পর্কে তথ্য ডার্কনেট এবং টেলিগ্রামে উপস্থিত হয়েছিল। যাইহোক, প্রথম ফাঁসের বিপরীতে, এইবার প্রকাশ করা সোর্স কোড নয়, সোর্স কোডের স্ক্রিনশট, কন্ট্রোল সার্ভার, সেইসাথে হ্যাকারদের অতীত শিকারদের আইপি ঠিকানাগুলি সহ ডাম্প করা হয়েছে। এবার গ্রিন লিকার্স হ্যাকাররা মাডিওয়াটার সম্পর্কে ফাঁসের দায় নিল। তারা বেশ কয়েকটি টেলিগ্রাম চ্যানেল এবং ডার্কনেট সাইটের মালিক যেখানে তারা MuddyWater অপারেশন সম্পর্কিত ডেটা বিজ্ঞাপন এবং বিক্রি করে।

মধ্যপ্রাচ্য থেকে সাইবার গুপ্তচর

পঙ্কিল জল মধ্যপ্রাচ্যে 2017 সাল থেকে সক্রিয় একটি গ্রুপ। উদাহরণস্বরূপ, গ্রুপ-আইবি বিশেষজ্ঞরা যেমন নোট করেছেন, ফেব্রুয়ারি থেকে এপ্রিল 2019 পর্যন্ত, হ্যাকাররা তুরস্ক, ইরান, আফগানিস্তান, ইরাক এবং আজারবাইজানে সরকার, শিক্ষা প্রতিষ্ঠান, আর্থিক, টেলিযোগাযোগ এবং প্রতিরক্ষা সংস্থাগুলিকে লক্ষ্য করে ফিশিং মেইলিংয়ের একটি সিরিজ চালিয়েছিল।

গ্রুপের সদস্যরা PowerShell-এর উপর ভিত্তি করে তাদের নিজস্ব বিকাশের একটি ব্যাকডোর ব্যবহার করে, যাকে বলা হয় পাওয়ারস্ট্যাটস. সে পারে:

• স্থানীয় এবং ডোমেন অ্যাকাউন্ট, উপলব্ধ ফাইল সার্ভার, অভ্যন্তরীণ এবং বাহ্যিক আইপি ঠিকানা, নাম এবং OS আর্কিটেকচার সম্পর্কে ডেটা সংগ্রহ করুন;
• দূরবর্তী কোড নির্বাহ করা;
• C&C এর মাধ্যমে ফাইল আপলোড এবং ডাউনলোড করুন;
• দূষিত ফাইলের বিশ্লেষণে ব্যবহৃত ডিবাগিং প্রোগ্রামের উপস্থিতি সনাক্ত করুন;
• দূষিত ফাইল বিশ্লেষণের জন্য প্রোগ্রাম পাওয়া গেলে সিস্টেম বন্ধ করুন;
• স্থানীয় ড্রাইভ থেকে ফাইল মুছে ফেলুন;
• স্ক্রিনশট নিন;
• মাইক্রোসফ্ট অফিস পণ্যগুলিতে নিরাপত্তা ব্যবস্থা অক্ষম করুন।

কিছু সময়ে, আক্রমণকারীরা একটি ভুল করেছিল এবং ReaQta থেকে গবেষকরা চূড়ান্ত আইপি ঠিকানা পেতে সক্ষম হন, যা তেহরানে অবস্থিত ছিল। এই গোষ্ঠীর দ্বারা আক্রমণ করা লক্ষ্যগুলির পাশাপাশি সাইবার গুপ্তচরবৃত্তি সম্পর্কিত লক্ষ্যগুলির পরিপ্রেক্ষিতে বিশেষজ্ঞরা পরামর্শ দিয়েছেন যে গোষ্ঠীটি ইরান সরকারের স্বার্থের প্রতিনিধিত্ব করে৷

আক্রমণের সূচকC&C:

• গ্ল্যাডিয়েটর[.]tk
• 94.23.148[।]194
• 192.95.21[।]28
• 46.105.84[।]146
• 185.162.235[।]182

নথি পত্র:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

তুর্কি আক্রমণের মুখে

10 এপ্রিল, 2019-এ, গ্রুপ-আইবি বিশেষজ্ঞরা তুর্কি কোম্পানি ASELSAN A.Ş, তুরস্কের সামরিক ইলেকট্রনিক্স ক্ষেত্রের বৃহত্তম কোম্পানির মেইলিং ঠিকানাগুলির একটি ফাঁস আবিষ্কার করেছেন। এর পণ্যগুলির মধ্যে রয়েছে রাডার এবং ইলেকট্রনিক্স, ইলেক্ট্রো-অপটিক্স, অ্যাভিওনিক্স, মনুষ্যবিহীন সিস্টেম, স্থল, নৌ, অস্ত্র এবং বিমান প্রতিরক্ষা ব্যবস্থা।

পাওয়ারস্ট্যাটস ম্যালওয়্যারের নতুন নমুনাগুলির মধ্যে একটি অধ্যয়ন করে, গ্রুপ-আইবি বিশেষজ্ঞরা স্থির করেছেন যে আক্রমণকারীদের মাডিওয়াটার গ্রুপ একটি টোপ হিসাবে ব্যবহৃত কোস সাভুনমা, তথ্য ও প্রতিরক্ষা প্রযুক্তির ক্ষেত্রে সমাধান উত্পাদনকারী একটি সংস্থা এবং Tubitak Bilgem-এর মধ্যে একটি লাইসেন্স চুক্তি নথিভুক্ত করেছে। , একটি তথ্য নিরাপত্তা গবেষণা কেন্দ্র এবং উন্নত প্রযুক্তি। Koç Savunma-এর যোগাযোগ ব্যক্তি ছিলেন Tahir Taner Tımış, যিনি Koç Bilgi ve Savunma Teknolojileri A.Ş-এ প্রোগ্রাম ম্যানেজার পদে অধিষ্ঠিত ছিলেন। সেপ্টেম্বর 2013 থেকে ডিসেম্বর 2018 পর্যন্ত। পরে তিনি ASELSAN A.Ş এ কাজ শুরু করেন।

নমুনা ডিকয় ডকুমেন্ট
ব্যবহারকারী দূষিত ম্যাক্রো সক্রিয় করার পরে, পাওয়ারস্ট্যাটস ব্যাকডোর শিকারের কম্পিউটারে ডাউনলোড করা হয়।

এই ডিকয় নথির মেটাডেটাকে ধন্যবাদ (MD5: 0638adf8fb4095d60fbef190a759aa9e) গবেষকরা অভিন্ন মান সম্বলিত তিনটি অতিরিক্ত নমুনা খুঁজে পেতে সক্ষম হয়েছেন, যার মধ্যে রয়েছে সৃষ্টির তারিখ এবং সময়, ব্যবহারকারীর নাম এবং ম্যাক্রোগুলির একটি তালিকা:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

বিভিন্ন ডিকয় নথির অভিন্ন মেটাডেটার স্ক্রিনশট

নামসহ আবিষ্কৃত নথিগুলোর একটি ListOfHackedEmails.doc ডোমেনের অন্তর্গত 34টি ইমেল ঠিকানার একটি তালিকা রয়েছে৷ @aselsan.com.tr.

গ্রুপ-আইবি বিশেষজ্ঞরা সর্বজনীনভাবে উপলব্ধ লিকগুলিতে ইমেল ঠিকানাগুলি পরীক্ষা করেছেন এবং দেখেছেন যে তাদের মধ্যে 28টি পূর্বে আবিষ্কৃত ফাঁসের সাথে আপোস করা হয়েছিল। উপলব্ধ ফাঁসের মিশ্রণ পরীক্ষা করা এই ডোমেনের সাথে যুক্ত প্রায় 400টি অনন্য লগইন এবং তাদের জন্য পাসওয়ার্ড দেখায়৷ এটা সম্ভব যে আক্রমণকারীরা ASELSAN A.Ş আক্রমণ করার জন্য এই সর্বজনীনভাবে উপলব্ধ ডেটা ব্যবহার করেছে।

ListOfHackedEmails.doc নথির স্ক্রিনশট

পাবলিক লিকে 450 টিরও বেশি সনাক্ত করা লগইন-পাসওয়ার্ড জোড়ার তালিকার স্ক্রিনশট
আবিষ্কৃত নমুনার মধ্যে শিরোনাম সহ একটি নথিও ছিল F35-Specifications.doc, F-35 যুদ্ধবিমানের কথা উল্লেখ করে। টোপ নথিটি F-35 মাল্টি-রোল ফাইটার-বোমারের জন্য একটি স্পেসিফিকেশন, যা বিমানের বৈশিষ্ট্য এবং দাম নির্দেশ করে। তুরস্কের S-35 সিস্টেম কেনার পর F-400 সরবরাহ করতে মার্কিন প্রত্যাখ্যান এবং F-35 লাইটনিং II সম্পর্কে তথ্য রাশিয়ার কাছে হস্তান্তরের হুমকির সাথে এই ছলচাতুরী নথির বিষয় সরাসরি সম্পর্কিত।

প্রাপ্ত সমস্ত তথ্য নির্দেশ করে যে MuddyWater সাইবার আক্রমণের প্রধান লক্ষ্য ছিল তুরস্কে অবস্থিত সংস্থাগুলি।

গ্ল্যাডিয়েটর_সিআরকে এবং নিমা নিকজু কারা?

এর আগে, মার্চ 2019 সালে, গ্ল্যাডিয়েটর_সিআরকে ডাকনামের অধীনে একজন উইন্ডোজ ব্যবহারকারীর দ্বারা তৈরি করা দূষিত নথি আবিষ্কার করা হয়েছিল। এই নথিগুলি পাওয়ারস্ট্যাটস ব্যাকডোরেও বিতরণ করেছে এবং একই নামের একটি C&C সার্ভারের সাথে সংযুক্ত রয়েছে গ্ল্যাডিয়েটর[.]tk.

ব্যবহারকারী নিমা নিকজু 14 মার্চ, 2019-এ টুইটারে পোস্ট করার পরে, MuddyWater-এর সাথে যুক্ত অস্পষ্ট কোড ডিকোড করার চেষ্টা করার পরে এটি করা হতে পারে। এই টুইটের মন্তব্যে, গবেষক বলেছেন যে তিনি এই ম্যালওয়্যারের জন্য আপসের সূচকগুলি ভাগ করতে পারবেন না, কারণ এই তথ্যটি গোপনীয়। দুর্ভাগ্যবশত, পোস্টটি ইতিমধ্যেই মুছে ফেলা হয়েছে, কিন্তু এর চিহ্নগুলি অনলাইনে রয়ে গেছে:

নিমা নিকজু ইরানি ভিডিও হোস্টিং সাইট dideo.ir এবং videoi.ir-এ Gladiyator_CRK প্রোফাইলের মালিক। এই সাইটে, তিনি বিভিন্ন বিক্রেতা এবং বাইপাস স্যান্ডবক্স থেকে অ্যান্টিভাইরাস সরঞ্জামগুলি অক্ষম করার জন্য PoC শোষণ প্রদর্শন করেন। নিমা নিকজু নিজের সম্পর্কে লিখেছেন যে তিনি একজন নেটওয়ার্ক নিরাপত্তা বিশেষজ্ঞ, সেইসাথে একজন বিপরীত প্রকৌশলী এবং ম্যালওয়্যার বিশ্লেষক যিনি MTN Irancell, একটি ইরানী টেলিকমিউনিকেশন কোম্পানির জন্য কাজ করেন।

Google অনুসন্ধান ফলাফলে সংরক্ষিত ভিডিওগুলির স্ক্রিনশট:

পরবর্তীতে, 19 মার্চ, 2019-এ, সামাজিক নেটওয়ার্ক টুইটারে ব্যবহারকারী নিমা নিকজু তার ডাকনাম পরিবর্তন করে ম্যালওয়্যার ফাইটার করেন এবং সম্পর্কিত পোস্ট এবং মন্তব্যগুলিও মুছে দেন। ভিডিও হোস্টিং dideo.ir-এ Gladiyator_CRK-এর প্রোফাইলটিও মুছে ফেলা হয়েছিল, যেমনটি YouTube-এর ক্ষেত্রে ছিল, এবং প্রোফাইলটির নাম পরিবর্তন করে N Tabrizi করা হয়েছিল৷ যাইহোক, প্রায় এক মাস পরে (16 এপ্রিল, 2019), টুইটার অ্যাকাউন্টটি আবার নিমা নিকজু নামটি ব্যবহার করা শুরু করে।

সমীক্ষা চলাকালীন, গ্রুপ-আইবি বিশেষজ্ঞরা আবিষ্কার করেছেন যে নিমা নিকজু ইতিমধ্যেই সাইবার অপরাধমূলক কার্যকলাপের সাথে জড়িত ছিলেন। আগস্ট 2014 সালে, ইরান খবরেস্তান ব্লগ সাইবার অপরাধী গোষ্ঠী ইরানী নাসর ইনস্টিটিউটের সাথে যুক্ত ব্যক্তিদের সম্পর্কে তথ্য প্রকাশ করে। ফায়ারআইয়ের একটি তদন্তে বলা হয়েছে যে নাসর ইনস্টিটিউট APT33-এর ঠিকাদার ছিল এবং অপারেশন আবাবিল নামে একটি প্রচারাভিযানের অংশ হিসাবে 2011 থেকে 2013 সালের মধ্যে মার্কিন ব্যাঙ্কগুলিতে DDoS আক্রমণের সাথে জড়িত ছিল।

তাই একই ব্লগে, নিমা নিকজু-নিকজু উল্লেখ করা হয়েছে, যিনি ইরানীদের উপর গুপ্তচরবৃত্তি করার জন্য ম্যালওয়্যার তৈরি করছিলেন, এবং তার ইমেল ঠিকানা: gladiator_cracker@yahoo[.]com।

ইরানী নাসর ইনস্টিটিউট থেকে সাইবার অপরাধীদের দায়ী করা ডেটার স্ক্রিনশট:

হাইলাইট করা পাঠ্যের রাশিয়ান ভাষায় অনুবাদ: নিমা নিকিও - স্পাইওয়্যার বিকাশকারী - ইমেল:.

এই তথ্য থেকে দেখা যায়, ইমেল ঠিকানাটি হামলায় ব্যবহৃত ঠিকানা এবং ব্যবহারকারী Gladiyator_CRK এবং Nima Nikju-এর সাথে যুক্ত।

উপরন্তু, 15 জুন, 2017 নিবন্ধে বলা হয়েছে যে নিকজু তার জীবনবৃত্তান্তে কাভোশ নিরাপত্তা কেন্দ্রের রেফারেন্স পোস্ট করার ক্ষেত্রে কিছুটা অসতর্ক ছিলেন। খাওয়া দৃশ্যসরকার সমর্থক হ্যাকারদের অর্থায়নের জন্য কাভোশ সিকিউরিটি সেন্টার ইরানি রাষ্ট্র দ্বারা সমর্থিত।

নিমা নিকজু যে কোম্পানিতে কাজ করেছেন সে সম্পর্কে তথ্য:

টুইটার ব্যবহারকারী নিমা নিকজু-এর লিঙ্কডইন প্রোফাইল কাভোশ সিকিউরিটি সেন্টার হিসাবে তার কর্মসংস্থানের প্রথম স্থান তালিকাভুক্ত করে, যেখানে তিনি 2006 থেকে 2014 পর্যন্ত কাজ করেছেন। তার কাজের সময়, তিনি বিভিন্ন ম্যালওয়্যার অধ্যয়ন করেছিলেন, এবং বিপরীত এবং অস্পষ্টতা-সম্পর্কিত কাজগুলিও মোকাবেলা করেছিলেন।

লিংকডইনে নিমা নিকজু যে কোম্পানির জন্য কাজ করেছেন সে সম্পর্কে তথ্য:

MuddyWater এবং উচ্চ আত্মসম্মান

এটা কৌতূহলজনক যে MuddyWater গ্রুপ সাবধানে তাদের সম্পর্কে প্রকাশিত তথ্য নিরাপত্তা বিশেষজ্ঞদের থেকে সমস্ত রিপোর্ট এবং বার্তা নিরীক্ষণ করে, এবং এমনকি ইচ্ছাকৃতভাবে প্রথমে মিথ্যা পতাকা ফেলে দেয় যাতে গবেষকদের ঘ্রাণ থেকে দূরে সরিয়ে দেওয়া যায়। উদাহরণস্বরূপ, তাদের প্রথম আক্রমণগুলি ডিএনএস মেসেঞ্জারের ব্যবহার সনাক্ত করে বিশেষজ্ঞদের বিভ্রান্ত করেছিল, যা সাধারণত FIN7 গ্রুপের সাথে যুক্ত ছিল। অন্যান্য আক্রমণে, তারা কোডে চাইনিজ স্ট্রিং ঢুকিয়েছে।

উপরন্তু, গ্রুপ গবেষকদের জন্য বার্তা ছেড়ে ভালবাসে. উদাহরণস্বরূপ, তারা পছন্দ করেনি যে ক্যাসপারস্কি ল্যাব বছরের জন্য তার হুমকি রেটিংয়ে মাডিওয়াটারকে 3য় স্থানে রেখেছে। একই মুহুর্তে, কেউ - সম্ভবত MuddyWater গ্রুপ - YouTube-এ একটি শোষণের একটি PoC আপলোড করেছে যা LK অ্যান্টিভাইরাস অক্ষম করে। তারা নিবন্ধের অধীনে একটি মন্তব্যও রেখে গেছে।

ক্যাসপারস্কি ল্যাব অ্যান্টিভাইরাস নিষ্ক্রিয় করার ভিডিওর স্ক্রিনশট এবং নীচের মন্তব্য:

"নিমা নিকজু" এর জড়িত থাকার বিষয়ে একটি দ্ব্যর্থহীন সিদ্ধান্তে পৌঁছানো এখনও কঠিন। গ্রুপ-আইবি বিশেষজ্ঞরা দুটি সংস্করণ বিবেচনা করছেন। নিমা নিকজু, প্রকৃতপক্ষে, MuddyWater গ্রুপের একজন হ্যাকার হতে পারে, যে তার অবহেলা এবং নেটওয়ার্কে বর্ধিত কার্যকলাপের কারণে প্রকাশ্যে এসেছিল। দ্বিতীয় বিকল্পটি হল যে তিনি ইচ্ছাকৃতভাবে গ্রুপের অন্যান্য সদস্যদের দ্বারা "উন্মোচিত" হয়েছিলেন যাতে নিজেদের থেকে সন্দেহ সরিয়ে নেওয়া যায়। যাই হোক না কেন, গ্রুপ-আইবি তার গবেষণা চালিয়ে যাচ্ছে এবং অবশ্যই তার ফলাফল রিপোর্ট করবে।

ইরানী APT-এর ক্ষেত্রে, ধারাবাহিকভাবে ফাঁস এবং ফাঁসের পরে, তারা সম্ভবত একটি গুরুতর "ডিব্রিফিং" এর মুখোমুখি হবে - হ্যাকাররা তাদের সরঞ্জামগুলিকে গুরুত্ব সহকারে পরিবর্তন করতে, তাদের ট্র্যাকগুলি পরিষ্কার করতে এবং তাদের পদে সম্ভাব্য "মোলস" খুঁজে পেতে বাধ্য হবে। বিশেষজ্ঞরা অস্বীকার করেননি যে তারা এমনকি একটি টাইমআউটও নেবে, তবে একটি সংক্ষিপ্ত বিরতির পরে, ইরানী এপিটি আক্রমণ আবার চলতে থাকে।

উত্স: www.habr.com