ນ້ໍາຕົມ: ວິທີການແຮກເກີຈາກ MuddyWater ໂຈມຕີຜູ້ຜະລິດອຸປະກອນເອເລັກໂຕຣນິກທາງທະຫານຂອງຕຸລະກີ

ແຮກເກີທີ່ສະໜັບສະໜູນລັດຖະບານຂອງອີຣ່ານ ຕົກຢູ່ໃນບັນຫາໃຫຍ່. ຕະຫຼອດລະດູໃບໄມ້ປົ່ງ, ຄົນທີ່ບໍ່ຮູ້ຈັກໄດ້ເຜີຍແຜ່ "ການຮົ່ວໄຫລລັບ" ໃນ Telegram - ຂໍ້ມູນກ່ຽວກັບກຸ່ມ APT ທີ່ກ່ຽວຂ້ອງກັບລັດຖະບານອີຣ່ານ - OilRig и ນ້ຳຕົມ — ເຄື່ອງ​ມື​ຂອງ​ເຂົາ​ເຈົ້າ​, ຜູ້​ເຄາະ​ຮ້າຍ​, ການ​ເຊື່ອມ​ຕໍ່​. ແຕ່ບໍ່ແມ່ນກ່ຽວກັບທຸກຄົນ. ໃນເດືອນເມສາ, ຜູ້ຊ່ຽວຊານກຸ່ມ-IB ໄດ້ຄົ້ນພົບການຮົ່ວໄຫລຂອງທີ່ຢູ່ທາງໄປສະນີຂອງບໍລິສັດ ASELSAN A.Ş ຂອງຕວກກີ, ເຊິ່ງຜະລິດວິທະຍຸທະຫານມີສິດເທົ່າທຽມແລະລະບົບປ້ອງກັນເອເລັກໂຕຣນິກສໍາລັບກໍາລັງປະກອບອາວຸດຕວກກີ. Anastasia Tikhonova, Group-IB Advanced Threat Research ຫົວໜ້າທີມ, ແລະ Nikita Rostovtsevນັກວິ​ເຄາະ​ກຸ່ມ-IB ​ໄດ້​ອະທິບາຍ​ເຖິງ​ການ​ໂຈມ​ຕີ​ຂອງ​ກຸ່ມ ASELSAN A.Ş ​ແລະ​ໄດ້​ພົບ​ເຫັນ​ຜູ້​ເຂົ້າ​ຮ່ວມ​ທີ່​ເປັນ​ໄປ​ໄດ້. ນ້ຳຕົມ.

ແສງສະຫວ່າງຜ່ານ Telegram

ການຮົ່ວໄຫລຂອງກຸ່ມ APT ຂອງອີຣ່ານໄດ້ເລີ່ມຕົ້ນດ້ວຍຄວາມຈິງທີ່ວ່າ Lab Doukhtegan ທີ່ແນ່ນອນ ເປີດເຜີຍຕໍ່ສາທາລະນະ ລະຫັດແຫຼ່ງຂອງຫົກເຄື່ອງມື APT34 (aka OilRig ແລະ HelixKitten), ເປີດເຜີຍທີ່ຢູ່ IP ແລະໂດເມນທີ່ກ່ຽວຂ້ອງກັບການປະຕິບັດງານ, ເຊັ່ນດຽວກັນກັບຂໍ້ມູນຂອງຜູ້ຖືກເຄາະຮ້າຍ 66 ຂອງແຮກເກີ, ລວມທັງ Etihad Airways ແລະ Emirates National Oil. Lab Doookhtegan ຍັງໄດ້ຮົ່ວຂໍ້ມູນກ່ຽວກັບການປະຕິບັດງານທີ່ຜ່ານມາຂອງກຸ່ມແລະຂໍ້ມູນກ່ຽວກັບພະນັກງານຂອງກະຊວງຂໍ້ມູນຂ່າວສານແລະຄວາມປອດໄພແຫ່ງຊາດຂອງອີຣ່ານທີ່ຖືກກ່າວຫາວ່າມີຄວາມກ່ຽວຂ້ອງກັບການປະຕິບັດງານຂອງກຸ່ມ. OilRig ແມ່ນກຸ່ມ APT ເຊື່ອມຕໍ່ອີຣ່ານທີ່ມີມາຕັ້ງແຕ່ປະມານ 2014 ແລະເປົ້າຫມາຍຂອງລັດຖະບານ, ອົງການຈັດຕັ້ງທາງດ້ານການເງິນແລະການທະຫານ, ເຊັ່ນດຽວກັນກັບບໍລິສັດພະລັງງານແລະໂທລະຄົມໃນຕາເວັນອອກກາງແລະຈີນ.

ຫຼັງຈາກ OilRig ໄດ້ຖືກເປີດເຜີຍ, ການຮົ່ວໄຫຼຍັງສືບຕໍ່ - ຂໍ້ມູນກ່ຽວກັບກິດຈະກໍາຂອງກຸ່ມສະຫນັບສະຫນູນລັດອື່ນຈາກອີຣ່ານ, MuddyWater, ປາກົດຢູ່ໃນ darknet ແລະ Telegram. ຢ່າງໃດກໍຕາມ, ບໍ່ເຫມືອນກັບການຮົ່ວໄຫລຄັ້ງທໍາອິດ, ເວລານີ້ມັນບໍ່ແມ່ນລະຫັດແຫຼ່ງທີ່ຖືກເຜີຍແຜ່, ແຕ່ການຖິ້ມຂີ້ເຫຍື້ອ, ລວມທັງພາບຫນ້າຈໍຂອງລະຫັດແຫຼ່ງ, ເຄື່ອງແມ່ຂ່າຍຄວບຄຸມ, ເຊັ່ນດຽວກັນກັບທີ່ຢູ່ IP ຂອງຜູ້ຖືກເຄາະຮ້າຍທີ່ຜ່ານມາຂອງແຮກເກີ. ເວລານີ້, ແຮກເກີ Green Leakers ໄດ້ຮັບຜິດຊອບຕໍ່ການຮົ່ວໄຫລກ່ຽວກັບ MuddyWater. ພວກເຂົາເຈົ້າເປັນເຈົ້າຂອງຊ່ອງທາງ Telegram ຫຼາຍແລະສະຖານທີ່ darknet ບ່ອນທີ່ພວກເຂົາໂຄສະນາແລະຂາຍຂໍ້ມູນທີ່ກ່ຽວຂ້ອງກັບການດໍາເນີນງານ MuddyWater.

ນັກສືບ Cyber ​​​​ຈາກຕາເວັນອອກກາງ

ນ້ຳຕົມ ແມ່ນກຸ່ມທີ່ມີການເຄື່ອນໄຫວຕັ້ງແຕ່ປີ 2017 ໃນຕາເວັນອອກກາງ. ຕົວຢ່າງເຊັ່ນ, ດັ່ງທີ່ຜູ້ຊ່ຽວຊານຂອງ Group-IB ສັງເກດເຫັນ, ຈາກເດືອນກຸມພາຫາເດືອນເມສາ 2019, ແຮກເກີໄດ້ດໍາເນີນການສົ່ງຈົດຫມາຍ phishing ຫຼາຍໆຄັ້ງເພື່ອແນໃສ່ລັດຖະບານ, ອົງການຈັດຕັ້ງການສຶກສາ, ທາງດ້ານການເງິນ, ໂທລະຄົມແລະບໍລິສັດປ້ອງກັນປະເທດໃນຕຸລະກີ, ອີຣ່ານ, ອັຟການິສຖານ, ອີຣັກແລະ Azerbaijan.

ສະມາຊິກກຸ່ມໃຊ້ backdoor ຂອງການພັດທະນາຂອງຕົນເອງໂດຍອີງໃສ່ PowerShell, ເຊິ່ງເອີ້ນວ່າ ພະລັງງານ. ລາວ​ສາ​ມາດ:

• ເກັບກໍາຂໍ້ມູນກ່ຽວກັບບັນຊີທ້ອງຖິ່ນແລະໂດເມນ, ເຄື່ອງແມ່ຂ່າຍໄຟລ໌ທີ່ມີຢູ່, ທີ່ຢູ່ IP ພາຍໃນແລະພາຍນອກ, ຊື່ແລະສະຖາປັດຕະ OS;
• ປະຕິບັດລະຫັດຫ່າງໄກສອກຫຼີກ;
• ອັບໂຫຼດ ແລະດາວໂຫຼດໄຟລ໌ຜ່ານ C&C;
• ກວດພົບການປະກົດຕົວຂອງໂປລແກລມ debugging ທີ່ໃຊ້ໃນການວິເຄາະໄຟລ໌ທີ່ເປັນອັນຕະລາຍ;
• ປິດລະບົບຖ້າໂຄງການສໍາລັບການວິເຄາະໄຟລ໌ທີ່ເປັນອັນຕະລາຍຖືກພົບເຫັນ;
• ລຶບໄຟລ໌ຈາກໄດພາຍໃນທ້ອງຖິ່ນ;
• ເອົາພາບຫນ້າຈໍ;
• ປິດການໃຊ້ມາດຕະການຄວາມປອດໄພໃນຜະລິດຕະພັນ Microsoft Office.

ໃນບາງຈຸດ, ຜູ້ໂຈມຕີໄດ້ເຮັດຜິດພາດແລະນັກຄົ້ນຄວ້າຈາກ ReaQta ສາມາດໄດ້ຮັບທີ່ຢູ່ IP ສຸດທ້າຍ, ເຊິ່ງຕັ້ງຢູ່ໃນ Tehran. ຍ້ອນ​ເປົ້າ​ໝາຍ​ຖືກ​ໂຈມ​ຕີ​ໂດຍ​ກຸ່ມ, ​ເຊັ່ນ​ດຽວ​ກັນ​ກັບ​ເປົ້າ​ໝາຍ​ທີ່​ກ່ຽວຂ້ອງ​ເຖິງ​ການ​ສອດ​ແນມທາງ​ອິນ​ເຕີ​ແນັດ, ບັນດາ​ຜູ້​ຊ່ຽວຊານ​ໄດ້​ແນະນຳ​ໃຫ້​ກຸ່ມ​ດັ່ງກ່າວ​ເປັນ​ຕົວ​ແທນ​ໃຫ້​ແກ່​ຜົນ​ປະ​ໂຫຍ​ດຂອງ​ລັດຖະບານ​ອີຣານ.

ຕົວຊີ້ວັດການໂຈມຕີC&C:

• gladiyator[.]tk
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

ໄຟລ໌:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

Türkiye ຖືກ​ໂຈມ​ຕີ

ໃນວັນທີ 10 ເມສາ 2019, ຜູ້ຊ່ຽວຊານກຸ່ມ-IB ໄດ້ຄົ້ນພົບການຮົ່ວໄຫລຂອງທີ່ຢູ່ທາງໄປສະນີຂອງບໍລິສັດຕວກກີ ASELSAN A.Ş, ບໍລິສັດທີ່ໃຫຍ່ທີ່ສຸດໃນຂົງເຂດເອເລັກໂຕຣນິກການທະຫານໃນປະເທດຕຸລະກີ. ຜະລິດຕະພັນຂອງມັນປະກອບມີ radar ແລະເອເລັກໂຕຣນິກ, electro-optics, avionics, ລະບົບບໍ່ມີຄົນຂັບ, ທາງບົກ, ກອງທັບເຮືອ, ອາວຸດແລະລະບົບປ້ອງກັນທາງອາກາດ.

ການສຶກສາຫນຶ່ງໃນຕົວຢ່າງໃຫມ່ຂອງ POWERSTATS malware, ຜູ້ຊ່ຽວຊານ Group-IB ໄດ້ກໍານົດວ່າກຸ່ມຜູ້ໂຈມຕີ MuddyWater ຖືກນໍາໃຊ້ເປັນເອກະສານ bait ຂໍ້ຕົກລົງໃບອະນຸຍາດລະຫວ່າງ Koç Savunma, ບໍລິສັດຜະລິດວິທີແກ້ໄຂໃນພາກສະຫນາມຂອງເຕັກໂນໂລຊີຂໍ້ມູນຂ່າວສານແລະການປ້ອງກັນ, ແລະ Tubitak Bilgem. , ສູນຄົ້ນຄ້ວາຄວາມປອດໄພຂໍ້ມູນຂ່າວສານແລະເຕັກໂນໂລຊີກ້າວຫນ້າທາງດ້ານ. ຜູ້ຕິດຕໍ່ສໍາລັບ Koç Savunma ແມ່ນ Tahir Taner Tımış, ຜູ້ທີ່ຖືຕໍາແຫນ່ງຜູ້ຈັດການໂຄງການຢູ່ Koç Bilgi ve Savunma Teknolojileri A.Ş. ຈາກເດືອນກັນຍາ 2013 ຫາເດືອນທັນວາ 2018. ຕໍ່ມາລາວໄດ້ເລີ່ມເຮັດວຽກຢູ່ ASELSAN A.Ş.

ຕົວຢ່າງເອກະສານຫຼອກລວງ
ຫຼັງຈາກຜູ້ໃຊ້ເປີດໃຊ້ມາໂຄທີ່ເປັນອັນຕະລາຍ, POWERSTATS backdoor ຈະຖືກດາວໂຫຼດໃສ່ຄອມພິວເຕີຂອງຜູ້ເຄາະຮ້າຍ.

ຂໍຂອບໃຈກັບ metadata ຂອງເອກະສານ decoy ນີ້ (MD5: 0638adf8fb4095d60fbef190a759aa9e) ນັກຄົ້ນຄວ້າສາມາດຊອກຫາສາມຕົວຢ່າງເພີ່ມເຕີມທີ່ມີຄ່າດຽວກັນ, ລວມທັງວັນທີແລະເວລາຂອງການສ້າງ, ຊື່ຜູ້ໃຊ້, ແລະບັນຊີລາຍຊື່ຂອງມະຫາພາກທີ່ມີ:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

ພາບຫນ້າຈໍຂອງ metadata ດຽວກັນຂອງເອກະສານ decoy ຕ່າງໆ

ຫນຶ່ງໃນເອກະສານທີ່ຄົ້ນພົບທີ່ມີຊື່ ListOfHackedEmails.doc ມີບັນຊີລາຍຊື່ຂອງ 34 ທີ່ຢູ່ອີເມວທີ່ເປັນຂອງໂດເມນ @aselsan.com.tr.

ຜູ້ຊ່ຽວຊານຂອງ Group-IB ໄດ້ກວດເບິ່ງທີ່ຢູ່ອີເມວໃນການຮົ່ວໄຫລສາທາລະນະແລະພົບວ່າ 28 ຂອງພວກເຂົາຖືກທໍາລາຍໃນການຮົ່ວໄຫຼທີ່ຄົ້ນພົບກ່ອນຫນ້ານີ້. ການກວດສອບການປະສົມຂອງການຮົ່ວໄຫລທີ່ມີຢູ່ໄດ້ສະແດງໃຫ້ເຫັນປະມານ 400 ການເຂົ້າສູ່ລະບົບທີ່ບໍ່ຊ້ໍາກັນທີ່ກ່ຽວຂ້ອງກັບໂດເມນນີ້ແລະລະຫັດຜ່ານສໍາລັບພວກເຂົາ. ມັນເປັນໄປໄດ້ວ່າຜູ້ໂຈມຕີໄດ້ໃຊ້ຂໍ້ມູນສາທາລະນະນີ້ເພື່ອໂຈມຕີ ASELSAN A.Ş.

ພາບໜ້າຈໍຂອງເອກະສານ ListOfHackedEmails.doc

ພາບໜ້າຈໍຂອງລາຍຊື່ຫຼາຍກວ່າ 450 ຄູ່ທີ່ກວດພົບການເຂົ້າສູ່ລະບົບ-ລະຫັດຜ່ານໃນການຮົ່ວໄຫຼສາທາລະນະ
ໃນບັນດາຕົວຢ່າງທີ່ຄົ້ນພົບ, ຍັງມີເອກະສານທີ່ມີຫົວຂໍ້ F35-Specifications.doc​ໂດຍ​ອ້າງ​ເຖິງ​ເຮືອບິນ​ສູ້​ລົບ F-35. ເອ​ກະ​ສານ bait ແມ່ນ​ສະ​ເພາະ​ສໍາ​ລັບ F-35 fighter-bomber ຫຼາຍ​ບົດ​ບາດ​, ສະ​ແດງ​ໃຫ້​ເຫັນ​ຄຸນ​ລັກ​ສະ​ນະ​ຂອງ​ເຮືອ​ບິນ​ແລະ​ລາ​ຄາ​. ຫົວຂໍ້ຂອງເອກະສານ decoy ນີ້ກ່ຽວຂ້ອງໂດຍກົງກັບການປະຕິເສດຂອງສະຫະລັດທີ່ຈະສະຫນອງ F-35s ຫຼັງຈາກ Turkey ຊື້ລະບົບ S-400 ແລະໄພຂົ່ມຂູ່ຂອງການໂອນຂໍ້ມູນກ່ຽວກັບ F-35 Lightning II ກັບລັດເຊຍ.

ຂໍ້ມູນທັງຫມົດທີ່ໄດ້ຮັບຊີ້ໃຫ້ເຫັນວ່າເປົ້າຫມາຍຕົ້ນຕໍຂອງການໂຈມຕີທາງອິນເຕີເນັດ MuddyWater ແມ່ນອົງການຈັດຕັ້ງທີ່ຕັ້ງຢູ່ໃນຕຸລະກີ.

Gladiyator_CRK ແລະ Nima Nikjoo ແມ່ນໃຜ?

Ранее, в марте 2019 года, были обнаружены вредоносные документы, созданные одним пользователем Windows под ником Gladiyator_CRK. Данные документы также распространяли бэкдор POWERSTATS и подключались к C&C-серверу со схожим названием gladiyator[.]tk.

ອັນນີ້ອາດຈະເຮັດໄດ້ຫຼັງຈາກຜູ້ໃຊ້ Nima Nikjoo ໂພສໃນ Twitter ໃນວັນທີ 14 ມີນາ 2019, ພະຍາຍາມຖອດລະຫັດທີ່ສັບສົນທີ່ກ່ຽວຂ້ອງກັບ MuddyWater. ໃນຄໍາເຫັນຕໍ່ tweet ນີ້, ນັກຄົ້ນຄວ້າກ່າວວ່າລາວບໍ່ສາມາດແບ່ງປັນຕົວຊີ້ວັດຂອງການປະນີປະນອມສໍາລັບ malware ນີ້, ເພາະວ່າຂໍ້ມູນນີ້ແມ່ນເປັນຄວາມລັບ. ຂໍອະໄພ, ໂພສດັ່ງກ່າວໄດ້ຖືກລຶບອອກໄປກ່ອນແລ້ວ, ແຕ່ຮ່ອງຮອຍຂອງມັນຍັງຄົງຢູ່ອອນລາຍ:

Nima Nikjoo ເປັນເຈົ້າຂອງໂປຣໄຟລ໌ Gladiyator_CRK ຢູ່ໃນເວັບໄຊທ໌ໂຮສວິດີໂອຂອງອີຣ່ານ Dideo.ir ແລະ videoi.ir. ຢູ່ໃນເວັບໄຊທ໌ນີ້, ລາວສະແດງໃຫ້ເຫັນການຂູດຮີດ PoC ເພື່ອປິດການໃຊ້ງານເຄື່ອງມືປ້ອງກັນໄວຣັດຈາກຜູ້ຂາຍຕ່າງໆແລະຂ້າມ sandboxes. Nima Nikjoo ຂຽນກ່ຽວກັບຕົນເອງວ່າລາວເປັນຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂອງເຄືອຂ່າຍ, ເຊັ່ນດຽວກັນກັບວິສະວະກອນດ້ານກົງກັນຂ້າມແລະນັກວິເຄາະ malware ທີ່ເຮັດວຽກໃຫ້ບໍລິສັດ MTN Irancell, ບໍລິສັດໂທລະຄົມຂອງອີຣ່ານ.

ພາບໜ້າຈໍຂອງວິດີໂອທີ່ບັນທຶກໄວ້ໃນຜົນການຊອກຫາຂອງ Google:

ຕໍ່ມາ, ໃນວັນທີ 19 ມີນາ 2019, ຜູ້ໃຊ້ Nima Nikjoo ໃນເຄືອຂ່າຍສັງຄົມ Twitter ໄດ້ປ່ຽນຊື່ຫຼິ້ນຂອງລາວເປັນ Malware Fighter, ແລະຍັງໄດ້ລຶບຂໍ້ຄວາມ ແລະຄຳເຫັນທີ່ກ່ຽວຂ້ອງ. ໂປຣໄຟລ໌ຂອງ Gladiyator_CRK ຢູ່ໃນວິດີໂອ hosting dideo.ir ກໍ່ຖືກລຶບ, ເຊັ່ນດຽວກັນກັບກໍລະນີຢູ່ໃນ YouTube, ແລະໂປຣໄຟລ໌ຕົວມັນເອງໄດ້ຖືກປ່ຽນຊື່ N Tabrizi. ຢ່າງໃດກໍຕາມ, ເກືອບຫນຶ່ງເດືອນຕໍ່ມາ (16 ເມສາ 2019), ບັນຊີ Twitter ໄດ້ເລີ່ມໃຊ້ຊື່ Nima Nikjoo ອີກເທື່ອຫນຶ່ງ.

ໃນລະຫວ່າງການສຶກສາ, ຜູ້ຊ່ຽວຊານຂອງ Group-IB ຄົ້ນພົບວ່າ Nima Nikjoo ໄດ້ຖືກກ່າວເຖິງແລ້ວກ່ຽວກັບກິດຈະກໍາທາງອິນເຕີເນັດ. ໃນເດືອນສິງຫາ 2014, blog Iran Khabarestan ໄດ້ເຜີຍແຜ່ຂໍ້ມູນກ່ຽວກັບບຸກຄົນທີ່ກ່ຽວຂ້ອງກັບກຸ່ມອາຊະຍາກໍາທາງອິນເຕີເນັດຂອງ Iranian Nasr Institute. ການສືບສວນ FireEye ຫນຶ່ງກ່າວວ່າສະຖາບັນ Nasr ເປັນຜູ້ຮັບເຫມົາສໍາລັບ APT33 ແລະຍັງມີສ່ວນຮ່ວມໃນການໂຈມຕີ DDoS ໃນທະນາຄານສະຫະລັດລະຫວ່າງ 2011 ແລະ 2013 ເປັນສ່ວນຫນຶ່ງຂອງແຄມເປນທີ່ເອີ້ນວ່າ Operation Ababil.

ດັ່ງນັ້ນໃນບລັອກດຽວກັນ, Nima Nikju-Nikjoo ໄດ້ຖືກກ່າວເຖິງ, ຜູ້ທີ່ກໍາລັງພັດທະນາ malware ເພື່ອສອດແນມຊາວອີຣ່ານ, ແລະທີ່ຢູ່ອີເມວຂອງລາວ: gladiyator_cracker@yahoo[.]com.

ພາບໜ້າຈໍຂອງຂໍ້ມູນທີ່ເປັນອາດຊະຍາກຳທາງອິນເຕີເນັດຈາກສະຖາບັນ Nasr ຂອງອີຣ່ານ:

ການແປຂໍ້ຄວາມທີ່ເນັ້ນໃສ່ເປັນພາສາລັດເຊຍ: Nima Nikio - ນັກພັດທະນາສະປາຍແວ - ອີເມວ:.

ດັ່ງທີ່ເຫັນໄດ້ຈາກຂໍ້ມູນນີ້, ທີ່ຢູ່ອີເມວແມ່ນກ່ຽວຂ້ອງກັບທີ່ຢູ່ທີ່ໃຊ້ໃນການໂຈມຕີແລະຜູ້ໃຊ້ Gladiyator_CRK ແລະ Nima Nikjoo.

ນອກຈາກນັ້ນ, ບົດຄວາມໃນວັນທີ 15 ມິຖຸນາ 2017 ລະບຸວ່າ Nikjoo ບໍ່ຄ່ອຍສົນໃຈໃນການປະກາດອ້າງອີງເຖິງສູນຄວາມປອດໄພ Kavosh ໃນຊີວະປະຫວັດຂອງລາວ. ກິນ ຄວາມຄິດເຫັນວ່າ​ສູນ​ຄວາມ​ປອດ​ໄພ Kavosh ໄດ້​ຮັບ​ການ​ສະ​ຫນັບ​ສະ​ຫນູນ​ໂດຍ​ລັດ​ອີ​ຣ່ານ​ໃນ​ການ​ສະ​ຫນັບ​ສະ​ຫນູນ​ທາງ​ດ້ານ​ການ​ເງິນ​ຂອງ​ພວກ​ແຮກ​ເກີ​ລັດ​ຖະ​ບານ.

ຂໍ້ມູນກ່ຽວກັບບໍລິສັດທີ່ Nima Nikjoo ເຮັດວຽກ:

ຜູ້ໃຊ້ Twitter ໂປຣໄຟລ໌ LinkedIn ຂອງ Nima Nikjoo ລາຍຊື່ບ່ອນເຮັດວຽກທໍາອິດຂອງລາວເປັນສູນຄວາມປອດໄພ Kavosh, ບ່ອນທີ່ລາວເຮັດວຽກຕັ້ງແຕ່ປີ 2006 ຫາ 2014. ໃນ​ລະ​ຫວ່າງ​ການ​ເຮັດ​ວຽກ​ຂອງ​ຕົນ​, ລາວ​ໄດ້​ສຶກ​ສາ malware ຕ່າງໆ​, ແລະ​ຍັງ​ໄດ້​ຮັບ​ການ​ແກ້​ໄຂ​ກັບ​ການ​ເຮັດ​ວຽກ​ທີ່​ກ່ຽວ​ກັບ​ການ​ປີ້ນ​ກັນ​ແລະ​ obfuscation​.

ຂໍ້ມູນກ່ຽວກັບບໍລິສັດ Nima Nikjoo ເຮັດວຽກຢູ່ LinkedIn:

MuddyWater ແລະຄວາມນັບຖືຕົນເອງສູງ

ມັນເປັນເລື່ອງທີ່ຢາກຮູ້ຢາກເຫັນທີ່ກຸ່ມ MuddyWater ລະມັດລະວັງຕິດຕາມບົດລາຍງານແລະຂໍ້ຄວາມທັງຫມົດຈາກຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານທີ່ເຜີຍແຜ່ກ່ຽວກັບພວກມັນ, ແລະແມ້ກະທັ້ງເຈດຕະນາປະໄວ້ທຸງທີ່ບໍ່ຖືກຕ້ອງໃນຕອນທໍາອິດເພື່ອຖິ້ມນັກຄົ້ນຄວ້າອອກຈາກກິ່ນຫອມ. ຕົວຢ່າງ, ການໂຈມຕີຄັ້ງທໍາອິດຂອງພວກເຂົາເຮັດໃຫ້ຜູ້ຊ່ຽວຊານຫຼອກລວງໂດຍການກວດສອບການນໍາໃຊ້ DNS Messenger, ເຊິ່ງມັກຈະກ່ຽວຂ້ອງກັບກຸ່ມ FIN7. ໃນການໂຈມຕີອື່ນໆ, ພວກເຂົາເຈົ້າໄດ້ແຊກສາຍຂອງຈີນເຂົ້າໄປໃນລະຫັດ.

ນອກຈາກນັ້ນ, ກຸ່ມຮັກທີ່ຈະອອກຈາກຂໍ້ຄວາມສໍາລັບນັກຄົ້ນຄວ້າ. ຕົວຢ່າງ, ພວກເຂົາບໍ່ມັກທີ່ Kaspersky Lab ວາງ MuddyWater ຢູ່ໃນອັນດັບທີ 3 ໃນການຈັດອັນດັບໄພຂົ່ມຂູ່ຕໍ່ປີ. ໃນຂະນະດຽວກັນ, ບາງຄົນ - ອາດຈະເປັນກຸ່ມ MuddyWater - ອັບໂຫລດ PoC ຂອງການຂູດຮີດໄປຍັງ YouTube ທີ່ປິດການໃຊ້ງານແອນຕິໄວຣັສ LK. ພວກເຂົາເຈົ້າຍັງໄດ້ອອກຄໍາເຫັນພາຍໃຕ້ບົດຄວາມ.

ພາບຫນ້າຈໍຂອງວິດີໂອກ່ຽວກັບການປິດການໃຊ້ງານ Kaspersky Lab antivirus ແລະຄໍາເຫັນຂ້າງລຸ່ມນີ້:

ມັນຍັງເປັນການຍາກທີ່ຈະໃຫ້ຂໍ້ສະຫຼຸບທີ່ບໍ່ຊັດເຈນກ່ຽວກັບການມີສ່ວນຮ່ວມຂອງ "Nima Nikjoo". ຜູ້ຊ່ຽວຊານກຸ່ມ-IB ກໍາລັງພິຈາລະນາສອງສະບັບ. Nima Nikjoo, ແທ້ຈິງແລ້ວ, ອາດຈະເປັນແຮກເກີຈາກກຸ່ມ MuddyWater, ຜູ້ທີ່ມາແຈ້ງຍ້ອນຄວາມລະເລີຍຂອງລາວແລະກິດຈະກໍາເພີ່ມຂຶ້ນໃນເຄືອຂ່າຍ. ທາງເລືອກທີສອງແມ່ນວ່າລາວຖືກ "ເປີດເຜີຍ" ໂດຍເຈດຕະນາໂດຍສະມາຊິກອື່ນໆຂອງກຸ່ມເພື່ອຫັນຄວາມສົງໃສອອກຈາກຕົວເອງ. ໃນກໍລະນີໃດກໍ່ຕາມ, Group-IB ຍັງສືບຕໍ່ຄົ້ນຄ້ວາແລະຈະລາຍງານຜົນໄດ້ຮັບຂອງມັນຢ່າງແນ່ນອນ.

ສໍາລັບ APTs ອີຣ່ານ, ຫຼັງຈາກການຮົ່ວໄຫລແລະການຮົ່ວໄຫລຫຼາຍໆຄັ້ງ, ພວກເຂົາອາດຈະປະເຊີນກັບ "ການອະທິບາຍ" ທີ່ຮ້າຍແຮງ - ແຮກເກີຈະຖືກບັງຄັບໃຫ້ປ່ຽນເຄື່ອງມືຂອງພວກເຂົາຢ່າງຈິງຈັງ, ເຮັດຄວາມສະອາດຕິດຕາມຂອງພວກເຂົາແລະຊອກຫາ "moles" ທີ່ເປັນໄປໄດ້ໃນອັນດັບຂອງພວກເຂົາ. ບັນດາ​ຜູ້​ຊ່ຽວຊານ​ບໍ່​ໄດ້​ອອກ​ຖະ​ແຫລ​ງການ​ວ່າ ​ເຖິງ​ແມ່ນ​ຈະ​ໃຊ້​ເວລາ​ໝົດ​ເວລາ, ​ແຕ່​ຫລັງ​ຈາກ​ໄດ້​ຢຸດ​ພັກ​ບໍ່​ດົນ, ການ​ໂຈມ​ຕີ APT ຂອງ​ອີ​ຣ່ານ​ໄດ້​ດຳ​ເນີນ​ຕໍ່​ໄປ​ອີກ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com