मैला पानी: कैसे मड्डीवाटर के हैकरों ने सैन्य इलेक्ट्रॉनिक्स के एक तुर्की निर्माता पर हमला किया

ईरान के सरकार समर्थक हैकर्स बड़ी मुसीबत में हैं। पूरे वसंत ऋतु में, अज्ञात लोगों ने टेलीग्राम पर "गुप्त लीक" प्रकाशित किए - ईरानी सरकार से जुड़े एपीटी समूहों के बारे में जानकारी - तेल रिंग и कीचड़युक्त जल - उनके उपकरण, पीड़ित, कनेक्शन। लेकिन हर किसी के बारे में नहीं. अप्रैल में, ग्रुप-आईबी विशेषज्ञों ने तुर्की निगम ASELSAN A.Ş के मेलिंग पते के लीक की खोज की, जो तुर्की सशस्त्र बलों के लिए सामरिक सैन्य रेडियो और इलेक्ट्रॉनिक रक्षा प्रणाली का उत्पादन करता है। अनास्तासिया तिखोनोवा, ग्रुप-आईबी एडवांस्ड थ्रेट रिसर्च टीम लीडर, और निकिता रोस्तोवत्सेवग्रुप-आईबी के कनिष्ठ विश्लेषक ने एसेलसन ए.Ş पर हमले के पाठ्यक्रम का वर्णन किया और एक संभावित भागीदार पाया कीचड़युक्त जल.

टेलीग्राम के माध्यम से रोशनी

ईरानी एपीटी समूहों का रिसाव इस तथ्य से शुरू हुआ कि एक निश्चित लैब डौखटेगन का अनावरण किया छह APT34 टूल (उर्फ ऑयलरिग और हेलिक्सकिटन) के स्रोत कोड ने ऑपरेशन में शामिल आईपी पते और डोमेन के साथ-साथ एतिहाद एयरवेज और एमिरेट्स नेशनल ऑयल सहित हैकर्स के 66 पीड़ितों के डेटा का खुलासा किया। लैब डूख्तेगन ने समूह के पिछले संचालन के बारे में डेटा और ईरानी सूचना और राष्ट्रीय सुरक्षा मंत्रालय के कर्मचारियों के बारे में जानकारी भी लीक की, जो कथित तौर पर समूह के संचालन से जुड़े हुए हैं। ऑयलरिग एक ईरान से जुड़ा एपीटी समूह है जो 2014 से अस्तित्व में है और सरकारी, वित्तीय और सैन्य संगठनों के साथ-साथ मध्य पूर्व और चीन में ऊर्जा और दूरसंचार कंपनियों को लक्षित करता है।

ऑयलरिग के उजागर होने के बाद, लीक जारी रहा - ईरान के एक अन्य राज्य-समर्थक समूह, मड्डीवाटर की गतिविधियों के बारे में जानकारी डार्कनेट और टेलीग्राम पर दिखाई दी। हालाँकि, पहले लीक के विपरीत, इस बार यह स्रोत कोड नहीं थे जो प्रकाशित किए गए थे, बल्कि डंप थे, जिनमें स्रोत कोड, नियंत्रण सर्वर के स्क्रीनशॉट, साथ ही हैकर्स के पिछले पीड़ितों के आईपी पते भी शामिल थे। इस बार ग्रीन लीकर्स हैकर्स ने मड्डीवाटर के बारे में लीक की जिम्मेदारी ली है। उनके पास कई टेलीग्राम चैनल और डार्कनेट साइटें हैं जहां वे मड्डीवाटर संचालन से संबंधित डेटा का विज्ञापन और बिक्री करते हैं।

मध्य पूर्व से साइबर जासूस

कीचड़युक्त जल एक समूह है जो 2017 से मध्य पूर्व में सक्रिय है। उदाहरण के लिए, जैसा कि ग्रुप-आईबी विशेषज्ञों ने नोट किया है, फरवरी से अप्रैल 2019 तक, हैकर्स ने तुर्की, ईरान, अफगानिस्तान, इराक और अजरबैजान में सरकार, शैक्षिक संगठनों, वित्तीय, दूरसंचार और रक्षा कंपनियों के उद्देश्य से फ़िशिंग मेलिंग की एक श्रृंखला को अंजाम दिया।

समूह के सदस्य पॉवरशेल पर आधारित अपने स्वयं के विकास के पिछले दरवाजे का उपयोग करते हैं, जिसे कहा जाता है पॉवरस्टेट्स. वह कर सकता है:

• स्थानीय और डोमेन खातों, उपलब्ध फ़ाइल सर्वर, आंतरिक और बाहरी आईपी पते, नाम और ओएस आर्किटेक्चर के बारे में डेटा एकत्र करें;
• दूरस्थ कोड निष्पादन करना;
• C&C के माध्यम से फ़ाइलें अपलोड और डाउनलोड करें;
• दुर्भावनापूर्ण फ़ाइलों के विश्लेषण में प्रयुक्त डिबगिंग प्रोग्राम की उपस्थिति का पता लगाएं;
• यदि दुर्भावनापूर्ण फ़ाइलों का विश्लेषण करने के लिए प्रोग्राम पाए जाते हैं तो सिस्टम बंद कर दें;
• स्थानीय ड्राइव से फ़ाइलें हटाएं;
• स्क्रीनशॉट लें;
• Microsoft Office उत्पादों में सुरक्षा उपाय अक्षम करें.

किसी बिंदु पर, हमलावरों ने गलती की और ReaQta के शोधकर्ता अंतिम आईपी पता प्राप्त करने में कामयाब रहे, जो तेहरान में स्थित था। समूह द्वारा हमला किए गए लक्ष्यों, साथ ही साइबर जासूसी से संबंधित इसके लक्ष्यों को देखते हुए, विशेषज्ञों ने सुझाव दिया है कि समूह ईरानी सरकार के हितों का प्रतिनिधित्व करता है।

आक्रमण सूचकसी एंड सी:

• ग्लैडीएटर[.]tk
• 94.23.148 [।] 194
• 192.95.21 [।] 28
• 46.105.84 [।] 146
• 185.162.235 [।] 182

फ़ाइलें:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

तुर्किये पर हमला हो रहा है

10 अप्रैल, 2019 को, ग्रुप-आईबी विशेषज्ञों ने तुर्की में सैन्य इलेक्ट्रॉनिक्स के क्षेत्र की सबसे बड़ी कंपनी, तुर्की कंपनी ASELSAN A.Ş के मेल पते के लीक की खोज की। इसके उत्पादों में रडार और इलेक्ट्रॉनिक्स, इलेक्ट्रो-ऑप्टिक्स, एवियोनिक्स, मानव रहित सिस्टम, भूमि, नौसेना, हथियार और वायु रक्षा प्रणाली शामिल हैं।

पावरस्टैट्स मैलवेयर के नए नमूनों में से एक का अध्ययन करते हुए, ग्रुप-आईबी विशेषज्ञों ने निर्धारित किया कि हमलावरों के मड्डीवाटर समूह ने सूचना और रक्षा प्रौद्योगिकियों के क्षेत्र में समाधान बनाने वाली कंपनी कोक सवुनमा और टुबिटक बिलगेम के बीच एक लाइसेंस समझौते को चारा दस्तावेज़ के रूप में इस्तेमाल किया। , एक सूचना सुरक्षा अनुसंधान केंद्र और उन्नत प्रौद्योगिकियाँ। कोक सवुनमा के लिए संपर्क व्यक्ति ताहिर तानेर टिमिस थे, जो कोक बिल्गी वे सवुनमा टेक्नोलोजिलेरी ए.Ş में प्रोग्राम मैनेजर के पद पर थे। सितंबर 2013 से दिसंबर 2018 तक. बाद में उन्होंने ASELSAN A.Ş में काम करना शुरू किया।

नमूना नकली दस्तावेज़
उपयोगकर्ता द्वारा दुर्भावनापूर्ण मैक्रोज़ सक्रिय करने के बाद, पावरस्टैट्स बैकडोर पीड़ित के कंप्यूटर पर डाउनलोड हो जाता है।

इस डिकॉय दस्तावेज़ के मेटाडेटा के लिए धन्यवाद (MD5: 0638adf8fb4095d60fbef190a759aa9e) शोधकर्ता समान मान वाले तीन अतिरिक्त नमूने ढूंढने में सक्षम थे, जिनमें निर्माण तिथि और समय, उपयोगकर्ता नाम और मैक्रोज़ की एक सूची शामिल थी:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

विभिन्न फर्जी दस्तावेज़ों के समान मेटाडेटा का स्क्रीनशॉट

नाम के साथ खोजे गए दस्तावेज़ों में से एक ListOfHackedEmails.doc इसमें डोमेन से संबंधित 34 ईमेल पतों की एक सूची शामिल है @aselsan.com.tr.

ग्रुप-आईबी विशेषज्ञों ने सार्वजनिक रूप से उपलब्ध लीक में ईमेल पतों की जांच की और पाया कि उनमें से 28 पहले से खोजे गए लीक में छेड़छाड़ किए गए थे। उपलब्ध लीक के मिश्रण की जाँच करने पर इस डोमेन से जुड़े लगभग 400 अद्वितीय लॉगिन और उनके लिए पासवर्ड दिखाई दिए। यह संभव है कि हमलावरों ने ASELSAN A.Ş पर हमला करने के लिए इस सार्वजनिक रूप से उपलब्ध डेटा का उपयोग किया हो।

ListOfHackedEmails.doc दस्तावेज़ का स्क्रीनशॉट

सार्वजनिक लीक में 450 से अधिक पहचाने गए लॉगिन-पासवर्ड जोड़े की सूची का स्क्रीनशॉट
खोजे गए नमूनों में शीर्षक वाला एक दस्तावेज़ भी था F35-Specifications.doc, F-35 फाइटर जेट का जिक्र। चारा दस्तावेज़ एफ-35 बहु-भूमिका लड़ाकू-बमवर्षक के लिए एक विनिर्देश है, जो विमान की विशेषताओं और कीमत को दर्शाता है। इस फर्जी दस्तावेज़ का विषय सीधे तौर पर तुर्की द्वारा एस-35 सिस्टम की खरीद के बाद एफ-400 की आपूर्ति करने से अमेरिका के इनकार और एफ-35 लाइटनिंग II के बारे में जानकारी रूस को स्थानांतरित करने की धमकी से संबंधित है।

प्राप्त सभी डेटा से संकेत मिलता है कि मड्डीवाटर साइबर हमलों का मुख्य लक्ष्य तुर्की में स्थित संगठन थे।

ग्लैडिएटर_सीआरके और नीमा निकजू कौन हैं?

इससे पहले, मार्च 2019 में, Gladiator_CRK उपनाम के तहत एक विंडोज़ उपयोगकर्ता द्वारा बनाए गए दुर्भावनापूर्ण दस्तावेज़ पाए गए थे। इन दस्तावेज़ों ने पॉवरस्टैट्स को पिछले दरवाजे से भी वितरित किया और समान नाम वाले C&C सर्वर से जोड़ा ग्लैडीएटर[.]tk.

ऐसा संभवतः 14 मार्च, 2019 को ट्विटर पर उपयोगकर्ता नीमा निकजू द्वारा पोस्ट किए जाने के बाद किया गया होगा, जिसमें मड्डीवाटर से जुड़े अस्पष्ट कोड को डिकोड करने का प्रयास किया गया था। इस ट्वीट पर टिप्पणियों में, शोधकर्ता ने कहा कि वह इस मैलवेयर के लिए समझौते के संकेतक साझा नहीं कर सकते, क्योंकि यह जानकारी गोपनीय है। दुर्भाग्य से, पोस्ट पहले ही हटा दी गई है, लेकिन इसके अंश ऑनलाइन मौजूद हैं:

नीमा निकजू ईरानी वीडियो होस्टिंग साइट्स digeo.ir और videoi.ir पर Gladiator_CRK प्रोफ़ाइल की मालिक हैं। इस साइट पर, वह विभिन्न विक्रेताओं के एंटीवायरस टूल को अक्षम करने और सैंडबॉक्स को बायपास करने के लिए PoC के कारनामों को प्रदर्शित करता है। नीमा निकजू अपने बारे में लिखते हैं कि वह एक नेटवर्क सुरक्षा विशेषज्ञ होने के साथ-साथ एक रिवर्स इंजीनियर और मैलवेयर विश्लेषक हैं जो एक ईरानी दूरसंचार कंपनी एमटीएन ईरानसेल के लिए काम करते हैं।

Google खोज परिणामों में सहेजे गए वीडियो का स्क्रीनशॉट:

बाद में, 19 मार्च, 2019 को सोशल नेटवर्क ट्विटर पर उपयोगकर्ता नीमा निकजू ने अपना उपनाम बदलकर मैलवेयर फाइटर कर लिया और संबंधित पोस्ट और टिप्पणियां भी हटा दीं। वीडियो होस्टिंग digeo.ir पर Gladiator_CRK की प्रोफ़ाइल को भी हटा दिया गया था, जैसा कि YouTube पर था, और प्रोफ़ाइल का नाम बदलकर N Tabrizi कर दिया गया था। हालाँकि, लगभग एक महीने बाद (16 अप्रैल, 2019), ट्विटर अकाउंट ने फिर से नीमा निकजू नाम का उपयोग करना शुरू कर दिया।

अध्ययन के दौरान, ग्रुप-आईबी विशेषज्ञों ने पाया कि साइबर आपराधिक गतिविधियों के संबंध में नीमा निकजू का पहले ही उल्लेख किया जा चुका है। अगस्त 2014 में, ईरान ख़बरिस्तान ब्लॉग ने साइबर अपराधी समूह ईरानी नस्र इंस्टीट्यूट से जुड़े व्यक्तियों के बारे में जानकारी प्रकाशित की। एक फायरआई जांच में कहा गया है कि नस्र इंस्टीट्यूट APT33 के लिए एक ठेकेदार था और ऑपरेशन अबाबिल नामक अभियान के हिस्से के रूप में 2011 और 2013 के बीच अमेरिकी बैंकों पर DDoS हमलों में भी शामिल था।

तो उसी ब्लॉग में, नीमा निकजू-निकजू का उल्लेख किया गया था, जो ईरानियों पर जासूसी करने के लिए मैलवेयर विकसित कर रहा था, और उसका ईमेल पता: Gladiator_cracker@yahoo[.]com।

ईरानी नस्र संस्थान से साइबर अपराधियों को जिम्मेदार ठहराए गए डेटा का स्क्रीनशॉट:

हाइलाइट किए गए पाठ का रूसी में अनुवाद: नीमा निकियो - स्पाइवेयर डेवलपर - ईमेल:.

जैसा कि इस जानकारी से देखा जा सकता है, ईमेल पता हमलों में इस्तेमाल किए गए पते और उपयोगकर्ताओं Gladiator_CRK और Nima Nikjoo से जुड़ा है।

इसके अतिरिक्त, 15 जून, 2017 के लेख में कहा गया है कि निक्जू अपने बायोडाटा पर कावोश सुरक्षा केंद्र के संदर्भ पोस्ट करने में कुछ हद तक लापरवाह था। खाओ रायकि कावोश सुरक्षा केंद्र सरकार समर्थक हैकरों को वित्तपोषित करने के लिए ईरानी राज्य द्वारा समर्थित है।

उस कंपनी के बारे में जानकारी जहां नीमा निकजू ने काम किया:

ट्विटर उपयोगकर्ता नीमा निकजू की लिंक्डइन प्रोफ़ाइल में उनके रोजगार का पहला स्थान कावोश सुरक्षा केंद्र के रूप में सूचीबद्ध है, जहां उन्होंने 2006 से 2014 तक काम किया। अपने काम के दौरान, उन्होंने विभिन्न मैलवेयर का अध्ययन किया, और रिवर्स और ऑब्फ़सकेशन-संबंधी कार्य भी निपटाए।

लिंक्डइन पर उस कंपनी के बारे में जानकारी जिसके लिए नीमा निकजू ने काम किया:

गंदा पानी और उच्च आत्मसम्मान

यह दिलचस्प है कि मड्डीवाटर समूह उनके बारे में प्रकाशित सूचना सुरक्षा विशेषज्ञों की सभी रिपोर्टों और संदेशों की सावधानीपूर्वक निगरानी करता है, और यहां तक ​​​​कि शोधकर्ताओं को परेशान करने के लिए जानबूझकर झूठे झंडे भी छोड़े हैं। उदाहरण के लिए, उनके पहले हमलों ने DNS मैसेंजर के उपयोग का पता लगाकर विशेषज्ञों को गुमराह किया, जो आमतौर पर FIN7 समूह से जुड़ा था। अन्य हमलों में, उन्होंने कोड में चीनी तार डाले।

इसके अलावा, समूह शोधकर्ताओं के लिए संदेश छोड़ना पसंद करता है। उदाहरण के लिए, उन्हें यह पसंद नहीं आया कि कास्परस्की लैब ने वर्ष के लिए अपनी ख़तरे की रेटिंग में मड्डीवाटर को तीसरे स्थान पर रखा। उसी क्षण, किसी ने - संभवतः मड्डीवाटर समूह - ने यूट्यूब पर एक शोषण का पीओसी अपलोड किया जो एलके एंटीवायरस को अक्षम कर देता है। उन्होंने लेख के नीचे एक टिप्पणी भी छोड़ी।

कैसपर्सकी लैब एंटीवायरस को अक्षम करने पर वीडियो के स्क्रीनशॉट और नीचे दी गई टिप्पणी:

"नीमा निक्जू" की संलिप्तता के बारे में स्पष्ट निष्कर्ष निकालना अभी भी मुश्किल है। ग्रुप-आईबी विशेषज्ञ दो संस्करणों पर विचार कर रहे हैं। निमा निकजू वास्तव में मड्डीवाटर समूह का एक हैकर हो सकता है, जो अपनी लापरवाही और नेटवर्क पर बढ़ती गतिविधि के कारण प्रकाश में आया। दूसरा विकल्प यह है कि संदेह को दूर करने के लिए समूह के अन्य सदस्यों द्वारा उसे जानबूझकर "बेनकाब" किया गया था। किसी भी स्थिति में, ग्रुप-आईबी अपना शोध जारी रखता है और निश्चित रूप से इसके परिणामों की रिपोर्ट करेगा।

जहां तक ​​ईरानी एपीटी का सवाल है, लीक और लीक की एक श्रृंखला के बाद, उन्हें संभवतः एक गंभीर "डीब्रीफिंग" का सामना करना पड़ेगा - हैकर्स को अपने टूल को गंभीरता से बदलने, अपने ट्रैक को साफ करने और अपने रैंक में संभावित "मोल" खोजने के लिए मजबूर किया जाएगा। विशेषज्ञों ने इस बात से इंकार नहीं किया कि वे टाइमआउट भी लेंगे, लेकिन एक छोटे ब्रेक के बाद, ईरानी एपीटी हमले फिर से जारी रहे।

स्रोत: www.habr.com