ទឹកភក់៖ របៀបដែលពួក Hacker មកពី MuddyWater វាយប្រហារក្រុមហ៊ុនផលិតគ្រឿងអេឡិចត្រូនិកយោធាទួរគី

ពួក Hacker គាំទ្ររដ្ឋាភិបាលអ៊ីរ៉ង់កំពុងមានបញ្ហាធំ។ ពេញមួយរដូវផ្ការីក មនុស្សមិនស្គាល់មុខបានចេញផ្សាយ "ការលេចធ្លាយសម្ងាត់" នៅលើ Telegram - ព័ត៌មានអំពីក្រុម APT ដែលពាក់ព័ន្ធជាមួយរដ្ឋាភិបាលអ៊ីរ៉ង់ - OilRig и ទឹកភក់ - ឧបករណ៍របស់ពួកគេ ជនរងគ្រោះ ការតភ្ជាប់។ ប៉ុន្តែមិនមែនអំពីមនុស្សគ្រប់គ្នាទេ។ នៅក្នុងខែមេសា អ្នកឯកទេសនៃក្រុម-IB បានរកឃើញការលេចធ្លាយអាសយដ្ឋានប្រៃសណីយ៍របស់សាជីវកម្មទួរគី ASELSAN A.Ş ដែលផលិតវិទ្យុយោធាយុទ្ធសាស្ត្រ និងប្រព័ន្ធការពារអេឡិចត្រូនិកសម្រាប់កងកម្លាំងប្រដាប់អាវុធទួរគី។ នាង Anastasia Tikhonovaប្រធានក្រុមស្រាវជ្រាវការគំរាមកំហែងកម្រិតខ្ពស់ Group-IB និង Nikita Rostovtsevអ្នកវិភាគវ័យក្មេងនៅ Group-IB បានពិពណ៌នាអំពីដំណើរនៃការវាយប្រហារលើ ASELSAN A.Ş ហើយបានរកឃើញអ្នកចូលរួមដែលអាចមាន ទឹកភក់.

ការបំភ្លឺតាមរយៈ Telegram

ការលេចធ្លាយនៃក្រុម APT របស់អ៊ីរ៉ង់បានចាប់ផ្តើមជាមួយនឹងការពិតដែលថា Lab Doukhtegan ជាក់លាក់មួយ។ បានបង្ហាញជាសាធារណៈ កូដប្រភពនៃឧបករណ៍ APT34 ចំនួនប្រាំមួយ (ហៅកាត់ថា OilRig និង HelixKitten) បានបង្ហាញអាសយដ្ឋាន IP និងដែនដែលពាក់ព័ន្ធក្នុងប្រតិបត្តិការ ក៏ដូចជាទិន្នន័យអំពីជនរងគ្រោះនៃពួក Hacker ចំនួន 66 នាក់ រួមទាំង Etihad Airways និង Emirates National Oil ។ Lab Doookhtegan ក៏បានលេចធ្លាយទិន្នន័យអំពីប្រតិបត្តិការកន្លងមករបស់ក្រុម និងព័ត៌មានអំពីបុគ្គលិកនៃក្រសួងព័ត៌មាន និងសន្តិសុខជាតិអ៊ីរ៉ង់ ដែលត្រូវបានចោទប្រកាន់ថាមានទំនាក់ទំនងជាមួយប្រតិបត្តិការរបស់ក្រុម។ OilRig គឺជាក្រុម APT ដែលភ្ជាប់ជាមួយអ៊ីរ៉ង់ដែលមានតាំងពីប្រហែលឆ្នាំ 2014 ហើយផ្តោតលើរដ្ឋាភិបាល អង្គការហិរញ្ញវត្ថុ និងយោធា ក៏ដូចជាក្រុមហ៊ុនថាមពល និងទូរគមនាគមន៍នៅមជ្ឈិមបូព៌ា និងប្រទេសចិន។

បន្ទាប់ពី OilRig ត្រូវបានលាតត្រដាង ការលេចធ្លាយបានបន្ត - ព័ត៌មានអំពីសកម្មភាពរបស់ក្រុមគាំទ្ររដ្ឋមួយទៀតមកពីប្រទេសអ៊ីរ៉ង់ MuddyWater បានលេចចេញនៅលើបណ្តាញងងឹត និងនៅលើ Telegram ។ ទោះជាយ៉ាងណាក៏ដោយ មិនដូចការលេចធ្លាយលើកដំបូងទេ លើកនេះមិនមែនជាកូដប្រភពដែលត្រូវបានបោះផ្សាយទេ ប៉ុន្តែជាការបោះចោល រួមទាំងរូបថតអេក្រង់នៃកូដប្រភព ម៉ាស៊ីនមេគ្រប់គ្រង ក៏ដូចជាអាសយដ្ឋាន IP របស់ជនរងគ្រោះពីពួកហេកឃឺកន្លងមក។ លើកនេះ Green Leakers Hacker បានទទួលខុសត្រូវចំពោះការលេចធ្លាយអំពី MuddyWater ។ ពួកគេជាម្ចាស់បណ្តាញ Telegram ជាច្រើន និងគេហទំព័រ darknet ដែលពួកគេផ្សាយពាណិជ្ជកម្ម និងលក់ទិន្នន័យទាក់ទងនឹងប្រតិបត្តិការ MuddyWater ។

អ្នកស៊ើបការណ៍តាមអ៊ីនធឺណិតមកពីមជ្ឈិមបូព៌ា

ទឹកភក់ គឺជាក្រុមដែលមានសកម្មភាពតាំងពីឆ្នាំ 2017 នៅមជ្ឈិមបូព៌ា។ ជាឧទាហរណ៍ ដូចដែលអ្នកជំនាញ Group-IB បានកត់សម្គាល់ ចាប់ពីខែកុម្ភៈ ដល់ខែមេសា ឆ្នាំ 2019 ពួក Hacker បានអនុវត្តការផ្ញើសារបន្លំជាបន្តបន្ទាប់ដែលមានគោលបំណងទៅកាន់រដ្ឋាភិបាល អង្គការអប់រំ ហិរញ្ញវត្ថុ ទូរគមនាគមន៍ និងក្រុមហ៊ុនការពារជាតិនៅក្នុងប្រទេសទួរគី អ៊ីរ៉ង់ អាហ្វហ្គានីស្ថាន អ៊ីរ៉ាក់ និងអាហ្សែបៃហ្សង់។

សមាជិកក្រុមប្រើប្រាស់ backdoor នៃការអភិវឌ្ឍន៍ផ្ទាល់ខ្លួនរបស់ពួកគេដោយផ្អែកលើ PowerShell ដែលត្រូវបានគេហៅថា POWERSTATS. គាត់​អាច:

• ប្រមូលទិន្នន័យអំពីគណនីក្នុងស្រុក និងដែន ម៉ាស៊ីនបម្រើឯកសារដែលមាន អាសយដ្ឋាន IP ខាងក្នុង និងខាងក្រៅ ឈ្មោះ និងស្ថាបត្យកម្ម OS ។
• អនុវត្តការប្រតិបត្តិលេខកូដពីចម្ងាយ;
• ផ្ទុកឡើង និងទាញយកឯកសារតាមរយៈ C&C;
• រកឃើញវត្តមាននៃកម្មវិធីបំបាត់កំហុសដែលប្រើក្នុងការវិភាគឯកសារព្យាបាទ។
• បិទប្រព័ន្ធ ប្រសិនបើកម្មវិធីសម្រាប់វិភាគឯកសារព្យាបាទត្រូវបានរកឃើញ។
• លុបឯកសារពីដ្រាយក្នុងស្រុក;
• ថតរូបអេក្រង់;
• បិទវិធានការសុវត្ថិភាពនៅក្នុងផលិតផល Microsoft Office ។

នៅចំណុចខ្លះ អ្នកវាយប្រហារបានធ្វើកំហុស ហើយអ្នកស្រាវជ្រាវមកពី ReaQta អាចទទួលបានអាសយដ្ឋាន IP ចុងក្រោយដែលមានទីតាំងនៅ Tehran ។ ដោយគិតពីគោលដៅវាយប្រហារដោយក្រុមនេះ ក៏ដូចជាគោលដៅរបស់ខ្លួនទាក់ទងនឹងចារកម្មតាមអ៊ីនធឺណិត អ្នកជំនាញបានស្នើថាក្រុមនេះតំណាងឱ្យផលប្រយោជន៍របស់រដ្ឋាភិបាលអ៊ីរ៉ង់។

សូចនាករនៃការវាយប្រហារC&C៖

• gladiyator[.]tk
• ១១៥.១៤៤.៦៩[.]១០៨
• ១១៥.១៤៤.៦៩[.]១០៨
• ១១៥.១៤៤.៦៩[.]១០៨
• ១១៥.១៤៤.៦៩[.]១០៨

ឯកសារ៖

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

ទួរគីស្ថិតនៅក្រោមការវាយប្រហារ

នៅថ្ងៃទី 10 ខែមេសា ឆ្នាំ 2019 អ្នកឯកទេស Group-IB បានរកឃើញការលេចធ្លាយអាស័យដ្ឋានប្រៃសណីយ៍របស់ក្រុមហ៊ុនទួរគី ASELSAN A.Ş ដែលជាក្រុមហ៊ុនធំបំផុតក្នុងវិស័យអេឡិចត្រូនិកយោធានៅក្នុងប្រទេសទួរគី។ ផលិតផលរបស់វារួមមានរ៉ាដា និងអេឡិចត្រូនិច អេឡិចត្រិច អុបទិក អាកាសយានិក ប្រព័ន្ធគ្មានមនុស្សបើក ផ្លូវគោក កងទ័ពជើងទឹក អាវុធ និងប្រព័ន្ធការពារដែនអាកាស។

ដោយសិក្សាគំរូថ្មីមួយនៃមេរោគ POWERSTATS អ្នកជំនាញ Group-IB បានកំណត់ថាក្រុមអ្នកវាយប្រហារ MuddyWater ប្រើជាឯកសារនុយកិច្ចព្រមព្រៀងអាជ្ញាប័ណ្ណរវាង Koç Savunma ដែលជាក្រុមហ៊ុនផលិតដំណោះស្រាយក្នុងវិស័យព័ត៌មាន និងបច្ចេកវិទ្យាការពារ និង Tubitak Bilgem មជ្ឈមណ្ឌលស្រាវជ្រាវសន្តិសុខព័ត៌មាន និងបច្ចេកវិទ្យាទំនើប។ អ្នកទំនាក់ទំនងសម្រាប់ Koç Savunma គឺ Tahir Taner Tımış ដែលកាន់តំណែងជាអ្នកគ្រប់គ្រងកម្មវិធីនៅ Koç Bilgi ve Savunma Teknolojileri A.Ş។ ចាប់ពីខែកញ្ញា ឆ្នាំ 2013 ដល់ខែធ្នូ ឆ្នាំ 2018។ ក្រោយមកគាត់បានចាប់ផ្តើមធ្វើការនៅ ASELSAN A.Ş.

គំរូឯកសារបញ្ឆោត
បន្ទាប់ពីអ្នកប្រើប្រាស់បើកដំណើរការម៉ាក្រូព្យាបាទ POWERSTATS backdoor ត្រូវបានទាញយកទៅកុំព្យូទ័ររបស់ជនរងគ្រោះ។

សូមអរគុណចំពោះទិន្នន័យមេតានៃឯកសារបញ្ឆោតនេះ (MD5: 0638adf8fb4095d60fbef190a759aa9e) អ្នកស្រាវជ្រាវអាចរកឃើញគំរូបន្ថែមចំនួនបីដែលមានតម្លៃដូចគ្នាបេះបិទ រួមទាំងកាលបរិច្ឆេទ និងពេលវេលានៃការបង្កើត ឈ្មោះអ្នកប្រើប្រាស់ និងបញ្ជីម៉ាក្រូដែលមាន៖

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

រូបថតអេក្រង់នៃទិន្នន័យមេតាដូចគ្នានៃឯកសារបោកបញ្ឆោតផ្សេងៗ

ឯកសារ​មួយ​ដែល​បាន​រក​ឃើញ​មាន​ឈ្មោះ ListOfHackedEmails.doc មានបញ្ជីអាសយដ្ឋានអ៊ីមែលចំនួន 34 ដែលជាកម្មសិទ្ធិរបស់ដែន @aselsan.com.tr.

អ្នកឯកទេស Group-IB បានពិនិត្យអាសយដ្ឋានអ៊ីមែលនៅក្នុងការលេចធ្លាយជាសាធារណៈ ហើយបានរកឃើញថា 28 ក្នុងចំណោមពួកគេត្រូវបានសម្របសម្រួលនៅក្នុងការលេចធ្លាយដែលបានរកឃើញពីមុន។ ការពិនិត្យមើលការលាយបញ្ចូលគ្នានៃការលេចធ្លាយដែលមានបង្ហាញការចូលតែមួយគត់ប្រហែល 400 ដែលទាក់ទងនឹងដែននេះ និងពាក្យសម្ងាត់សម្រាប់ពួកគេ។ វាអាចទៅរួចដែលអ្នកវាយប្រហារបានប្រើទិន្នន័យដែលមានជាសាធារណៈនេះដើម្បីវាយប្រហារ ASELSAN A.Ş។

រូបថតអេក្រង់នៃឯកសារ ListOfHackedEmails.doc

រូបថតអេក្រង់នៃបញ្ជីជាង 450 ដែលបានរកឃើញគូចូល-ពាក្យសម្ងាត់នៅក្នុងការលេចធ្លាយជាសាធារណៈ
ក្នុង​ចំណោម​គំរូ​ដែល​បាន​រក​ឃើញ​នោះ​ក៏​មាន​ឯកសារ​ដែល​មាន​ចំណង​ជើង​ផង​ដែរ។ F35-Specifications.docសំដៅលើយន្តហោះចម្បាំង F-35 ។ ឯកសារនុយគឺជាការបញ្ជាក់សម្រាប់យន្តហោះទម្លាក់គ្រាប់បែកពហុតួនាទី F-35 ដែលបង្ហាញពីលក្ខណៈ និងតម្លៃរបស់យន្តហោះ។ ប្រធានបទនៃឯកសារបោកបញ្ឆោតនេះ ទាក់ទងដោយផ្ទាល់ទៅនឹងការបដិសេធរបស់សហរដ្ឋអាមេរិកក្នុងការផ្គត់ផ្គង់យន្តហោះចម្បាំង F-35 បន្ទាប់ពីតួកគីទិញប្រព័ន្ធ S-400 និងការគំរាមកំហែងនៃការផ្ទេរព័ត៌មានអំពី F-35 Lightning II ទៅប្រទេសរុស្ស៊ី។

ទិន្នន័យទាំងអស់ដែលទទួលបានបានបង្ហាញថា គោលដៅចម្បងនៃការវាយប្រហារតាមអ៊ីនធឺណិត MuddyWater គឺជាអង្គការដែលមានទីតាំងនៅប្រទេសទួរគី។

តើ Gladiyator_CRK និង Nima Nikjoo ជានរណា?

កាលពីដើមខែមីនា ឆ្នាំ 2019 ឯកសារព្យាបាទត្រូវបានរកឃើញដោយអ្នកប្រើប្រាស់ Windows ម្នាក់ក្រោមឈ្មោះហៅក្រៅ Gladiyator_CRK ។ ឯកសារទាំងនេះក៏បានចែកចាយ POWERSTATS backdoor និងភ្ជាប់ទៅម៉ាស៊ីនមេ C&C ដែលមានឈ្មោះស្រដៀងគ្នា gladiyator[.]tk.

នេះអាចត្រូវបានធ្វើបន្ទាប់ពីអ្នកប្រើប្រាស់ Nima Nikjoo បានបង្ហោះនៅលើ Twitter នៅថ្ងៃទី 14 ខែមីនា ឆ្នាំ 2019 ដោយព្យាយាមឌិកូដកូដដែលច្រឡំពាក់ព័ន្ធនឹង MuddyWater ។ នៅក្នុងការអត្ថាធិប្បាយទៅកាន់ tweet នេះ អ្នកស្រាវជ្រាវបាននិយាយថា គាត់មិនអាចចែករំលែកសូចនាករនៃការសម្របសម្រួលសម្រាប់មេរោគនេះបានទេ ដោយសារព័ត៌មាននេះគឺជាការសម្ងាត់។ ជាអកុសល ការបង្ហោះនេះត្រូវបានលុបរួចហើយ ប៉ុន្តែដានរបស់វានៅតែមាននៅលើអ៊ីនធឺណិត៖

Nima Nikjoo ជាម្ចាស់នៃទម្រង់ Gladiyator_CRK នៅលើគេហទំព័របង្ហោះវីដេអូអ៊ីរ៉ង់ Dideo.ir និង videoi.ir ។ នៅលើគេហទំព័រនេះ គាត់បង្ហាញការកេងប្រវ័ញ្ច PoC ដើម្បីបិទឧបករណ៍កំចាត់មេរោគពីអ្នកលក់ផ្សេងៗ និងឆ្លងកាត់ប្រអប់ខ្សាច់។ Nima Nikjoo សរសេរអំពីខ្លួនគាត់ថាគាត់ជាអ្នកឯកទេសសុវត្ថិភាពបណ្តាញ ក៏ដូចជាវិស្វករបញ្ច្រាស និងអ្នកវិភាគមេរោគ ដែលធ្វើការឱ្យក្រុមហ៊ុន MTN Irancell ដែលជាក្រុមហ៊ុនទូរគមនាគមន៍អ៊ីរ៉ង់។

រូបថតអេក្រង់នៃវីដេអូដែលបានរក្សាទុកនៅក្នុងលទ្ធផលស្វែងរក Google៖

ក្រោយមកនៅថ្ងៃទី 19 ខែមីនា ឆ្នាំ 2019 អ្នកប្រើប្រាស់ Nima Nikjoo នៅលើបណ្តាញសង្គម Twitter បានប្តូរឈ្មោះហៅក្រៅរបស់គាត់ទៅជា Malware Fighter ហើយក៏បានលុបការបង្ហោះ និងមតិដែលពាក់ព័ន្ធផងដែរ។ ប្រវត្តិរូបរបស់ Gladiyator_CRK នៅលើវីដេអូដែលបង្ហោះ dideo.ir ក៏ត្រូវបានលុបដូចករណីនៅលើ YouTube ដែរ ហើយទម្រង់ខ្លួនឯងត្រូវបានប្តូរឈ្មោះទៅជា N Tabrizi ។ ទោះបីជាយ៉ាងណាក៏ដោយ ជិតមួយខែក្រោយមក (ថ្ងៃទី 16 ខែមេសា ឆ្នាំ 2019) គណនី Twitter បានចាប់ផ្តើមប្រើឈ្មោះ Nima Nikjoo ម្តងទៀត។

ក្នុងអំឡុងពេលនៃការសិក្សា អ្នកឯកទេសនៃក្រុម-IB បានរកឃើញថា Nima Nikjoo ត្រូវបានលើកឡើងរួចហើយទាក់ទងនឹងសកម្មភាពឧក្រិដ្ឋកម្មតាមអ៊ីនធឺណិត។ នៅក្នុងខែសីហា ឆ្នាំ 2014 ប្លុក Iran Khabarestan បានបោះពុម្ពផ្សាយព័ត៌មានអំពីបុគ្គលដែលមានទំនាក់ទំនងជាមួយក្រុមឧក្រិដ្ឋជនតាមអ៊ីនធឺណិត វិទ្យាស្ថាន Iranian Nasr ។ ការស៊ើបអង្កេតមួយរបស់ FireEye បានបញ្ជាក់ថា វិទ្យាស្ថាន Nasr គឺជាអ្នកម៉ៅការសម្រាប់ APT33 ហើយក៏បានចូលរួមនៅក្នុងការវាយប្រហារដោយ DDoS លើធនាគារអាមេរិកចន្លោះឆ្នាំ 2011 និង 2013 ដែលជាផ្នែកមួយនៃយុទ្ធនាការមួយដែលមានឈ្មោះថា Operation Ababil។

ដូច្នេះនៅក្នុងប្លុកដូចគ្នា Nima Nikju-Nikjoo ត្រូវបានគេលើកឡើង ដែលកំពុងបង្កើតមេរោគ ដើម្បីឈ្លបយកការណ៍លើជនជាតិអ៊ីរ៉ង់ និងអាសយដ្ឋានអ៊ីមែលរបស់គាត់៖ gladiyator_cracker@yahoo[.]com ។

រូបថតអេក្រង់នៃទិន្នន័យដែលត្រូវបានសន្មតថាជាឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតពីវិទ្យាស្ថាន Nasr របស់អ៊ីរ៉ង់៖

ការបកប្រែអត្ថបទដែលបានបន្លិចទៅជាភាសារុស្សី៖ Nima Nikio - អ្នកបង្កើត Spyware - អ៊ីមែល៖.

ដូចដែលអាចមើលឃើញពីព័ត៌មាននេះ អាសយដ្ឋានអ៊ីមែលត្រូវបានភ្ជាប់ជាមួយអាសយដ្ឋានដែលបានប្រើក្នុងការវាយប្រហារ និងអ្នកប្រើប្រាស់ Gladiyator_CRK និង Nima Nikjoo ។

លើសពីនេះទៀត អត្ថបទថ្ងៃទី 15 ខែមិថុនា ឆ្នាំ 2017 បាននិយាយថា Nikjoo មានការធ្វេសប្រហែសបន្តិចក្នុងការបង្ហោះឯកសារយោងទៅកាន់ Kavosh Security Center នៅលើប្រវត្តិរូបសង្ខេបរបស់គាត់។ បរិភោគ មតិមជ្ឈមណ្ឌលសន្តិសុខ Kavosh ត្រូវបានគាំទ្រដោយរដ្ឋអ៊ីរ៉ង់ ដើម្បីផ្តល់ហិរញ្ញប្បទានដល់ពួក Hacker ដែលគាំទ្ររដ្ឋាភិបាល។

ព័ត៌មានអំពីក្រុមហ៊ុនដែល Nima Nikjoo ធ្វើការ៖

ប្រវត្តិរូប LinkedIn របស់ Nima Nikjoo អ្នកប្រើប្រាស់ Twitter រាយបញ្ជីកន្លែងការងារដំបូងរបស់គាត់ជាមជ្ឈមណ្ឌលសន្តិសុខ Kavosh ជាកន្លែងដែលគាត់បានធ្វើការពីឆ្នាំ 2006 ដល់ឆ្នាំ 2014 ។ ក្នុងអំឡុងពេលនៃការងាររបស់គាត់ គាត់បានសិក្សាពីមេរោគផ្សេងៗ ហើយក៏បានដោះស្រាយការងារដែលទាក់ទងនឹងការបញ្ច្រាស និងការបំភាន់ផងដែរ។

ព័ត៌មានអំពីក្រុមហ៊ុន Nima Nikjoo ធ្វើការឱ្យ LinkedIn៖

MuddyWat និងការគោរពខ្លួនឯងខ្ពស់។

វាជាការចង់ដឹងចង់ឃើញដែលថាក្រុម MuddyWater តាមដានដោយប្រុងប្រយ័ត្ននូវរបាយការណ៍ និងសារទាំងអស់ពីអ្នកជំនាញសន្តិសុខព័ត៌មានដែលបានបោះពុម្ពផ្សាយអំពីពួកគេ ហើយថែមទាំងបានទុកទង់ក្លែងក្លាយដោយចេតនានៅដើមដំបូងដើម្បីទម្លាក់អ្នកស្រាវជ្រាវចេញពីក្លិនក្រអូប។ ជាឧទាហរណ៍ ការវាយប្រហារដំបូងរបស់ពួកគេបានបំភាន់អ្នកជំនាញដោយរកឃើញការប្រើប្រាស់ DNS Messenger ដែលជាទូទៅត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងក្រុម FIN7 ។ នៅក្នុងការវាយប្រហារផ្សេងទៀត ពួកគេបានបញ្ចូលខ្សែអក្សរចិនទៅក្នុងកូដ។

លើស​ពី​នេះ​ទៀត ក្រុម​នេះ​ចូល​ចិត្ត​ទុក​សារ​ឲ្យ​អ្នក​ស្រាវ​ជ្រាវ។ ជាឧទាហរណ៍ ពួកគេមិនចូលចិត្តដែល Kaspersky Lab បានដាក់ MuddyWater ក្នុងចំណាត់ថ្នាក់ទី 3 ក្នុងការវាយតម្លៃការគំរាមកំហែងរបស់ខ្លួនសម្រាប់ឆ្នាំ។ ក្នុងពេលជាមួយគ្នានោះ នរណាម្នាក់ - សន្មតថាក្រុម MuddyWater - បានបង្ហោះ PoC នៃការកេងប្រវ័ញ្ចទៅ YouTube ដែលបិទកំចាត់មេរោគ LK ។ ពួកគេក៏បានទុកមតិយោបល់នៅក្រោមអត្ថបទ។

រូបថតអេក្រង់នៃវីដេអូស្តីពីការបិទកំចាត់មេរោគ Kaspersky Lab និងការអត្ថាធិប្បាយខាងក្រោម៖

វានៅតែពិបាកក្នុងការធ្វើការសន្និដ្ឋានដោយមិនច្បាស់លាស់អំពីការចូលរួមរបស់ "Nima Nikjoo" ។ អ្នកជំនាញក្រុម-IB កំពុងពិចារណាកំណែពីរ។ តាមពិត Nima Nikjoo អាចជាហេកឃឺមកពីក្រុម MuddyWater ដែលបានចេញមុខមកបំភ្លឺដោយសារតែការធ្វេសប្រហែសរបស់គាត់ និងបង្កើនសកម្មភាពនៅលើបណ្តាញ។ ជម្រើសទីពីរគឺថាគាត់ត្រូវបាន "លាតត្រដាង" ដោយចេតនាដោយសមាជិកផ្សេងទៀតនៃក្រុមដើម្បីបង្វែរការសង្ស័យពីពួកគេ។ ក្នុងករណីណាក៏ដោយ Group-IB បន្តការស្រាវជ្រាវរបស់ខ្លួន ហើយនឹងរាយការណ៍ពីលទ្ធផលរបស់វា។

សម្រាប់ APTs របស់អ៊ីរ៉ង់ បន្ទាប់ពីការលេចធ្លាយ និងការលេចធ្លាយជាបន្តបន្ទាប់ ពួកគេប្រហែលជានឹងប្រឈមមុខនឹង "ការបកស្រាយ" ដ៏ធ្ងន់ធ្ងរមួយ - ពួក Hacker នឹងត្រូវបង្ខំឱ្យផ្លាស់ប្តូរឧបករណ៍របស់ពួកគេយ៉ាងធ្ងន់ធ្ងរ សម្អាតផ្លូវរបស់ពួកគេ និងស្វែងរក "ប្រជ្រុយ" ដែលអាចកើតមាននៅក្នុងជួររបស់ពួកគេ។ អ្នកជំនាញមិនបានច្រានចោលថា ពួកគេនឹងត្រូវចំណាយពេលយូរនោះទេ ប៉ុន្តែបន្ទាប់ពីសម្រាកមួយរយៈពេលខ្លី ការវាយប្រហារ APT របស់អ៊ីរ៉ង់នៅតែបន្តកើតមានម្តងទៀត។

ប្រភព: www.habr.com