મડી વોટર: કેવી રીતે મુડ્ડીવોટરના હેકર્સે લશ્કરી ઇલેક્ટ્રોનિક્સના તુર્કી ઉત્પાદક પર હુમલો કર્યો

ઈરાની સરકાર તરફી હેકર્સ મોટી મુશ્કેલીમાં છે. સમગ્ર વસંત દરમિયાન, અજાણ્યા લોકોએ ટેલિગ્રામ પર "ગુપ્ત લિક" પ્રકાશિત કર્યા - ઈરાની સરકાર સાથે સંકળાયેલા APT જૂથો વિશેની માહિતી - ઓઇલરિગ и મડી વોટર - તેમના સાધનો, પીડિતો, જોડાણો. પરંતુ દરેક વિશે નથી. એપ્રિલમાં, ગ્રુપ-આઈબીના નિષ્ણાતોએ ટર્કિશ કોર્પોરેશન ASELSAN A.Ş ના મેઈલિંગ એડ્રેસની લીક શોધ કરી, જે ટર્કિશ સશસ્ત્ર દળો માટે વ્યૂહાત્મક લશ્કરી રેડિયો અને ઈલેક્ટ્રોનિક સંરક્ષણ પ્રણાલીઓનું ઉત્પાદન કરે છે. એનાસ્તાસિયા ટીખોનોવા, ગ્રુપ-આઈબી એડવાન્સ્ડ થ્રેટ રિસર્ચ ટીમ લીડર, અને નિકિતા રોસ્ટોવત્સેવ, ગ્રુપ-આઈબીના જુનિયર વિશ્લેષકે, ASELSAN A.Ş પરના હુમલાના કોર્સનું વર્ણન કર્યું અને સંભવિત સહભાગી શોધી કાઢ્યા. મડી વોટર.

ટેલિગ્રામ દ્વારા લાઇટિંગ

ઈરાની APT જૂથોના લીકની શરૂઆત એ હકીકત સાથે થઈ હતી કે ચોક્કસ લેબ Doukhtegan જાહેર કર્યું છ APT34 ટૂલ્સ (ઉર્ફે OilRig અને HelixKitten) ના સ્ત્રોત કોડ, ઓપરેશનમાં સામેલ IP એડ્રેસ અને ડોમેન્સ તેમજ એતિહાદ એરવેઝ અને અમીરાત નેશનલ ઓઈલ સહિત હેકરોનો ભોગ બનેલા 66 લોકોનો ડેટા જાહેર કરે છે. લેબ દૂખ્તેગને જૂથની ભૂતકાળની કામગીરી અને ઈરાની માહિતી અને રાષ્ટ્રીય સુરક્ષા મંત્રાલયના કર્મચારીઓ વિશેની માહિતી પણ લીક કરી હતી જેઓ જૂથની કામગીરી સાથે કથિત રીતે સંકળાયેલા છે. OilRig એ ઈરાન સાથે જોડાયેલ APT જૂથ છે જે લગભગ 2014 થી અસ્તિત્વમાં છે અને મધ્ય પૂર્વ અને ચીનમાં સરકારી, નાણાકીય અને લશ્કરી સંસ્થાઓ તેમજ ઊર્જા અને ટેલિકોમ્યુનિકેશન કંપનીઓને લક્ષ્ય બનાવે છે.

ઓઇલરિગનો પર્દાફાશ થયા પછી, લીક ચાલુ રહ્યું - ઈરાનના અન્ય પ્રો-સ્ટેટ જૂથ, મડી વોટરની પ્રવૃત્તિઓ વિશેની માહિતી ડાર્કનેટ અને ટેલિગ્રામ પર દેખાઈ. જો કે, પ્રથમ લીકથી વિપરીત, આ વખતે તે સ્રોત કોડ્સ પ્રકાશિત થયા ન હતા, પરંતુ ડમ્પ હતા, જેમાં સ્રોત કોડના સ્ક્રીનશૉટ્સ, કંટ્રોલ સર્વર્સ, તેમજ હેકરોના ભૂતકાળના ભોગ બનેલા IP સરનામાઓનો સમાવેશ થાય છે. આ વખતે, ગ્રીન લીકર્સ હેકર્સે MuddyWater વિશે લીકની જવાબદારી લીધી. તેઓ ઘણી ટેલિગ્રામ ચેનલો અને ડાર્કનેટ સાઇટ્સની માલિકી ધરાવે છે જ્યાં તેઓ મડી વોટર ઓપરેશન્સ સંબંધિત ડેટાની જાહેરાત અને વેચાણ કરે છે.

મધ્ય પૂર્વના સાયબર જાસૂસો

મડી વોટર એક જૂથ છે જે મધ્ય પૂર્વમાં 2017 થી સક્રિય છે. ઉદાહરણ તરીકે, ગ્રુપ-IB નિષ્ણાતો નોંધે છે કે, ફેબ્રુઆરીથી એપ્રિલ 2019 સુધી, હેકર્સે તુર્કી, ઈરાન, અફઘાનિસ્તાન, ઈરાક અને અઝરબૈજાનમાં સરકાર, શૈક્ષણિક સંસ્થાઓ, નાણાકીય, ટેલિકોમ્યુનિકેશન અને સંરક્ષણ કંપનીઓને લક્ષ્યમાં રાખીને શ્રેણીબદ્ધ ફિશિંગ મેઈલીંગ કર્યા હતા.

જૂથના સભ્યો પાવરશેલ પર આધારિત તેમના પોતાના વિકાસના પાછલા દરવાજાનો ઉપયોગ કરે છે, જેને કહેવામાં આવે છે પાવરસ્ટેટ્સ. તે કરી શકે:

• સ્થાનિક અને ડોમેન એકાઉન્ટ્સ, ઉપલબ્ધ ફાઇલ સર્વર્સ, આંતરિક અને બાહ્ય IP સરનામાં, નામ અને OS આર્કિટેક્ચર વિશેનો ડેટા એકત્રિત કરો;
• દૂરસ્થ કોડ અમલ હાથ ધરવા;
• C&C દ્વારા ફાઇલો અપલોડ અને ડાઉનલોડ કરો;
• દૂષિત ફાઇલોના વિશ્લેષણમાં ઉપયોગમાં લેવાતા ડીબગીંગ પ્રોગ્રામ્સની હાજરી શોધો;
• જો દૂષિત ફાઇલોનું વિશ્લેષણ કરવા માટેના પ્રોગ્રામ્સ મળી આવે તો સિસ્ટમને બંધ કરો;
• સ્થાનિક ડ્રાઈવોમાંથી ફાઇલો કાઢી નાખો;
• સ્ક્રીનશોટ લો;
• માઈક્રોસોફ્ટ ઓફિસ ઉત્પાદનોમાં સુરક્ષા પગલાંને અક્ષમ કરો.

અમુક સમયે, હુમલાખોરોએ ભૂલ કરી અને ReaQta ના સંશોધકો અંતિમ IP સરનામું મેળવવામાં સફળ થયા, જે તેહરાનમાં સ્થિત હતું. જૂથ દ્વારા હુમલો કરાયેલા લક્ષ્યો, તેમજ સાયબર જાસૂસી સંબંધિત તેના લક્ષ્યોને જોતાં, નિષ્ણાતોએ સૂચવ્યું છે કે જૂથ ઈરાની સરકારના હિતોનું પ્રતિનિધિત્વ કરે છે.

હુમલો સૂચકાંકોC&C:

• ગ્લેડીયેટર[.]tk
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

ફાઈલો:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

હુમલા હેઠળ તુર્કી

10 એપ્રિલ, 2019 ના રોજ, ગ્રુપ-આઈબીના નિષ્ણાતોએ તુર્કીમાં લશ્કરી ઈલેક્ટ્રોનિક્સના ક્ષેત્રમાં સૌથી મોટી કંપની ASELSAN A.Ş ના મેઈલિંગ એડ્રેસની લીક શોધ કરી. તેના ઉત્પાદનોમાં રડાર અને ઇલેક્ટ્રોનિક્સ, ઇલેક્ટ્રો-ઓપ્ટિક્સ, એવિઓનિક્સ, માનવરહિત સિસ્ટમ્સ, જમીન, નૌકાદળ, શસ્ત્રો અને હવાઈ સંરક્ષણ પ્રણાલીનો સમાવેશ થાય છે.

પાવરસ્ટેટ્સ મૉલવેરના નવા નમૂનાઓમાંથી એકનો અભ્યાસ કરીને, ગ્રુપ-આઈબી નિષ્ણાતોએ નક્કી કર્યું કે હુમલાખોરોના મુડ્ડીવોટર જૂથે બાઈટ તરીકે ઉપયોગ કર્યો હતો, જે માહિતી અને સંરક્ષણ પ્રૌદ્યોગિકી ક્ષેત્રે સોલ્યુશન્સ બનાવતી કંપની Koç સવુન્મા અને તુબિટક બિલ્જેમ વચ્ચેના લાયસન્સ કરારનો દસ્તાવેજ કરે છે. , માહિતી સુરક્ષા સંશોધન કેન્દ્ર અને અદ્યતન તકનીકો. Koç Savunma માટે સંપર્ક વ્યક્તિ તાહિર Taner Tımış હતા, જેમણે Koç Bilgi ve Savunma Teknolojileri A.Ş ખાતે પ્રોગ્રામ્સ મેનેજરનું પદ સંભાળ્યું હતું. સપ્ટેમ્બર 2013 થી ડિસેમ્બર 2018 સુધી. બાદમાં તેણે ASELSAN A.Ş ખાતે કામ કરવાનું શરૂ કર્યું.

સેમ્પલ ડેકોય દસ્તાવેજ
વપરાશકર્તા દૂષિત મેક્રોને સક્રિય કરે તે પછી, પાવરસ્ટેટ્સ બેકડોર પીડિતના કમ્પ્યુટર પર ડાઉનલોડ થાય છે.

આ ડીકોય દસ્તાવેજના મેટાડેટા માટે આભાર (MD5: 0638adf8fb4095d60fbef190a759aa9e) સંશોધકો સમાન મૂલ્યો ધરાવતા ત્રણ વધારાના નમૂનાઓ શોધવામાં સક્ષમ હતા, જેમાં બનાવટની તારીખ અને સમય, વપરાશકર્તા નામ અને સમાવિષ્ટ મેક્રોની સૂચિનો સમાવેશ થાય છે:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

વિવિધ ડિકોય દસ્તાવેજોના સમાન મેટાડેટાનો સ્ક્રીનશોટ

નામ સાથે શોધાયેલ દસ્તાવેજોમાંથી એક ListOfHackedEmails.doc ડોમેન સાથે જોડાયેલા 34 ઈમેલ એડ્રેસની યાદી ધરાવે છે @aselsan.com.tr.

ગ્રુપ-આઈબીના નિષ્ણાતોએ સાર્વજનિક રીતે ઉપલબ્ધ લીકમાં ઈમેલ એડ્રેસ ચેક કર્યા અને જાણવા મળ્યું કે તેમાંથી 28 અગાઉ શોધાયેલ લીક્સમાં ચેડાં કરવામાં આવ્યાં હતાં. ઉપલબ્ધ લીક્સના મિશ્રણને તપાસવાથી આ ડોમેન સાથે સંકળાયેલા લગભગ 400 અનન્ય લોગિન અને તેમના માટેના પાસવર્ડ્સ દેખાય છે. શક્ય છે કે હુમલાખોરોએ આ જાહેરમાં ઉપલબ્ધ ડેટાનો ઉપયોગ ASELSAN A.Ş પર હુમલો કરવા માટે કર્યો હોય.

ListOfHackedEmails.doc દસ્તાવેજનો સ્ક્રીનશૉટ

સાર્વજનિક લીકમાં 450 થી વધુ શોધાયેલ લોગિન-પાસવર્ડ જોડીની સૂચિનો સ્ક્રીનશોટ
શોધાયેલા નમૂનાઓમાં શીર્ષક સાથેનો દસ્તાવેજ પણ હતો F35-Specifications.doc, F-35 ફાઇટર જેટનો ઉલ્લેખ કરે છે. બાઈટ દસ્તાવેજ F-35 મલ્ટી-રોલ ફાઇટર-બોમ્બર માટે સ્પષ્ટીકરણ છે, જે એરક્રાફ્ટની લાક્ષણિકતાઓ અને કિંમત દર્શાવે છે. તુર્કી દ્વારા S-35 સિસ્ટમની ખરીદી બાદ F-400ની સપ્લાય કરવાનો યુએસનો ઇનકાર અને F-35 લાઈટનિંગ II વિશેની માહિતી રશિયાને ટ્રાન્સફર કરવાની ધમકી સાથે આ ડિકૉય દસ્તાવેજનો વિષય સીધો જ સંબંધિત છે.

પ્રાપ્ત થયેલ તમામ ડેટા દર્શાવે છે કે મડી વોટર સાયબર હુમલાના મુખ્ય લક્ષ્યો તુર્કીમાં સ્થિત સંગઠનો હતા.

ગ્લેડીયેટર_સીઆરકે અને નીમા નિકજૂ કોણ છે?

અગાઉ, માર્ચ 2019 માં, ગ્લેડીયેટર_સીઆરકે ઉપનામ હેઠળ એક વિન્ડોઝ વપરાશકર્તા દ્વારા દૂષિત દસ્તાવેજો બનાવવામાં આવ્યા હતા. આ દસ્તાવેજો પાવરસ્ટેટ્સ બેકડોર પણ વિતરિત કરે છે અને સમાન નામ સાથે C&C સર્વર સાથે જોડાયેલ છે. ગ્લેડીયેટર[.]tk.

યુઝર નીમા નિકજૂએ 14 માર્ચ, 2019ના રોજ ટ્વિટર પર મડ્ડીવોટર સાથે સંકળાયેલ અસ્પષ્ટ કોડને ડીકોડ કરવાનો પ્રયાસ કર્યા પછી આ કરવામાં આવ્યું હોઈ શકે છે. આ ટ્વિટ પરની ટિપ્પણીઓમાં, સંશોધકે કહ્યું કે તે આ માલવેર માટે સમાધાનના સૂચકો શેર કરી શકશે નહીં, કારણ કે આ માહિતી ગોપનીય છે. કમનસીબે, પોસ્ટ પહેલેથી જ કાઢી નાખવામાં આવી છે, પરંતુ તેના નિશાનો ઑનલાઇન રહે છે:

નીમા નિકજૂ ઈરાની વિડિયો હોસ્ટિંગ સાઈટ dideo.ir અને videoi.ir પર ગ્લેડીયેટર_સીઆરકે પ્રોફાઈલના માલિક છે. આ સાઇટ પર, તે વિવિધ વિક્રેતાઓ અને બાયપાસ સેન્ડબોક્સના એન્ટિવાયરસ ટૂલ્સને અક્ષમ કરવા માટે PoC શોષણ દર્શાવે છે. નીમા નિકજૂ પોતાના વિશે લખે છે કે તે નેટવર્ક સુરક્ષા નિષ્ણાત છે, તેમજ રિવર્સ એન્જિનિયર અને માલવેર વિશ્લેષક છે જે ઈરાની ટેલિકોમ્યુનિકેશન કંપની MTN Irancell માટે કામ કરે છે.

Google શોધ પરિણામોમાં સાચવેલ વિડિઓનો સ્ક્રીનશોટ:

બાદમાં, 19 માર્ચ, 2019ના રોજ, સોશિયલ નેટવર્ક ટ્વિટર પર યુઝર નીમા નિકજુએ તેનું હુલામણું નામ બદલીને માલવેર ફાઈટર કર્યું, અને સંબંધિત પોસ્ટ અને ટિપ્પણીઓ પણ કાઢી નાખી. વીડિયો હોસ્ટિંગ dideo.ir પર Gladiyator_CRK ની પ્રોફાઇલ પણ કાઢી નાખવામાં આવી હતી, જેમ કે YouTube પર કેસ હતો, અને પ્રોફાઇલનું નામ N Tabrizi રાખવામાં આવ્યું હતું. જો કે, લગભગ એક મહિના પછી (16 એપ્રિલ, 2019), ટ્વિટર એકાઉન્ટ ફરીથી નીમા નિકજૂ નામનો ઉપયોગ કરવાનું શરૂ કર્યું.

અભ્યાસ દરમિયાન, ગ્રુપ-આઈબીના નિષ્ણાતોએ શોધ્યું કે નીમા નિકજૂનો ઉલ્લેખ સાયબર અપરાધિક પ્રવૃત્તિઓના સંબંધમાં પહેલેથી જ કરવામાં આવ્યો હતો. ઑગસ્ટ 2014માં, ઈરાન ખબરેસ્તાન બ્લોગે ઈરાની નસ્ર ઈન્સ્ટિટ્યૂટ નામના સાઈબર અપરાધી જૂથ સાથે સંકળાયેલ વ્યક્તિઓ વિશે માહિતી પ્રકાશિત કરી હતી. એક FireEye તપાસમાં જણાવવામાં આવ્યું હતું કે નસ્ર ઇન્સ્ટિટ્યૂટ APT33 માટે કોન્ટ્રાક્ટર હતી અને ઓપરેશન અબાબિલ નામની ઝુંબેશના ભાગરૂપે 2011 અને 2013 વચ્ચે યુએસ બેંકો પર થયેલા DDoS હુમલામાં પણ સામેલ હતી.

તો એ જ બ્લોગમાં, નીમા નિકજુ-નિકજુનો ઉલ્લેખ કરવામાં આવ્યો હતો, જે ઈરાનીઓ પર જાસૂસી કરવા માટે માલવેર વિકસાવી રહી હતી અને તેનું ઈમેલ સરનામું: gladiator_cracker@yahoo[.]com.

ઈરાની નસ્ર ઈન્સ્ટિટ્યૂટમાંથી સાયબર અપરાધીઓને આભારી ડેટાનો સ્ક્રીનશોટ:

હાઇલાઇટ કરેલ ટેક્સ્ટનો રશિયનમાં અનુવાદ: નીમા નિકિયો - સ્પાયવેર ડેવલપર - ઈમેલ:.

આ માહિતી પરથી જોઈ શકાય છે કે, ઈમેલ એડ્રેસ હુમલામાં ઉપયોગમાં લેવાતા એડ્રેસ અને ગ્લેડીયેટર_સીઆરકે અને નીમા નિકજૂના વપરાશકર્તાઓ સાથે સંકળાયેલું છે.

વધુમાં, 15 જૂન, 2017ના લેખમાં જણાવવામાં આવ્યું હતું કે નિકજૂ તેના રેઝ્યૂમે પર કાવોશ સિક્યુરિટી સેન્ટરના સંદર્ભો પોસ્ટ કરવામાં થોડો બેદરકાર હતો. ખાવું અભિપ્રાયકેવોશ સિક્યુરિટી સેન્ટરને સરકાર તરફી હેકર્સને નાણાં આપવા માટે ઈરાની રાજ્ય દ્વારા ટેકો આપવામાં આવે છે.

નીમા નિકજૂએ જે કંપનીમાં કામ કર્યું તે વિશેની માહિતી:

ટ્વિટર વપરાશકર્તા નીમા નિકજૂની લિંક્ડઇન પ્રોફાઇલ તેમના રોજગારના પ્રથમ સ્થાનને કાવોશ સિક્યુરિટી સેન્ટર તરીકે સૂચિબદ્ધ કરે છે, જ્યાં તેમણે 2006 થી 2014 સુધી કામ કર્યું હતું. તેમના કામ દરમિયાન, તેમણે વિવિધ મૉલવેરનો અભ્યાસ કર્યો, અને રિવર્સ અને અસ્પષ્ટતા-સંબંધિત કાર્ય સાથે પણ કામ કર્યું.

LinkedIn પર નીમા નિકજૂ જે કંપની માટે કામ કરતી હતી તેના વિશેની માહિતી:

મડી વોટર અને ઉચ્ચ આત્મસન્માન

તે વિચિત્ર છે કે MuddyWater જૂથ તેમના વિશે પ્રકાશિત માહિતી સુરક્ષા નિષ્ણાતોના તમામ અહેવાલો અને સંદેશાઓની કાળજીપૂર્વક દેખરેખ રાખે છે, અને સંશોધકોને સુગંધથી દૂર ફેંકવા માટે ઇરાદાપૂર્વક પ્રથમ ખોટા ધ્વજ પણ છોડી દે છે. ઉદાહરણ તરીકે, તેમના પ્રથમ હુમલાઓએ DNS મેસેન્જરનો ઉપયોગ શોધીને નિષ્ણાતોને ગેરમાર્ગે દોર્યા, જે સામાન્ય રીતે FIN7 જૂથ સાથે સંકળાયેલા હતા. અન્ય હુમલાઓમાં, તેઓએ કોડમાં ચાઇનીઝ શબ્દમાળાઓ દાખલ કરી.

આ ઉપરાંત, જૂથ સંશોધકો માટે સંદેશા છોડવાનું પસંદ કરે છે. ઉદાહરણ તરીકે, કેસ્પરસ્કી લેબએ વર્ષ માટે તેના થ્રેટ રેટિંગમાં મડી વોટરને 3જા સ્થાને મૂક્યું તે તેમને ગમ્યું નહીં. તે જ ક્ષણે, કોઈએ - સંભવતઃ MuddyWater જૂથે - YouTube પર શોષણનું PoC અપલોડ કર્યું જે LK એન્ટીવાયરસને અક્ષમ કરે છે. તેઓએ લેખ હેઠળ એક ટિપ્પણી પણ છોડી દીધી.

કેસ્પરસ્કી લેબ એન્ટીવાયરસને અક્ષમ કરવા પરના વિડીયોના સ્ક્રીનશોટ અને નીચેની કોમેન્ટરી:

"નીમા નિકજૂ" ની સંડોવણી વિશે અસ્પષ્ટ નિષ્કર્ષ કાઢવો હજુ પણ મુશ્કેલ છે. ગ્રુપ-આઈબી નિષ્ણાતો બે સંસ્કરણો પર વિચાર કરી રહ્યા છે. નીમા નિકજૂ, ખરેખર, મડીવોટર જૂથનો હેકર હોઈ શકે છે, જે તેની બેદરકારી અને નેટવર્ક પર વધેલી પ્રવૃત્તિને કારણે પ્રકાશમાં આવ્યો હતો. બીજો વિકલ્પ એ છે કે તે જૂથના અન્ય સભ્યો દ્વારા ઇરાદાપૂર્વક "ઉજાગર" કરવામાં આવ્યો હતો જેથી કરીને શંકાને પોતાના પરથી દૂર કરી શકાય. કોઈપણ સંજોગોમાં, ગ્રુપ-આઈબી તેનું સંશોધન ચાલુ રાખે છે અને ચોક્કસપણે તેના પરિણામોની જાણ કરશે.

ઈરાની APTs માટે, લીક અને લીક્સની શ્રેણી પછી, તેઓ કદાચ ગંભીર "ડિબ્રીફિંગ" નો સામનો કરશે - હેકર્સને ગંભીરતાથી તેમના ટૂલ્સ બદલવા, તેમના ટ્રેક સાફ કરવા અને તેમની રેન્કમાં સંભવિત "મોલ્સ" શોધવાની ફરજ પાડવામાં આવશે. નિષ્ણાતોએ નકારી ન હતી કે તેઓ સમયસમાપ્તિ પણ લેશે, પરંતુ ટૂંકા વિરામ પછી, ઈરાની APT હુમલાઓ ફરીથી ચાલુ રહ્યા.

સોર્સ: www.habr.com