Muddy waters: MuddyWatറിൽ നിന്നുള്ള ഹാക്കർമാർ എങ്ങനെയാണ് ഒരു തുർക്കി സൈനിക ഇലക്ട്രോണിക്സ് നിർമ്മാതാവിനെ ആക്രമിച്ചത്

ഇറാനിയൻ അനുകൂല സർക്കാർ ഹാക്കർമാർ വലിയ കുഴപ്പത്തിലാണ്. വസന്തകാലം മുഴുവൻ, അജ്ഞാതരായ ആളുകൾ ടെലിഗ്രാമിൽ "രഹസ്യ ചോർച്ചകൾ" പ്രസിദ്ധീകരിച്ചു - ഇറാനിയൻ സർക്കാരുമായി ബന്ധപ്പെട്ട APT ഗ്രൂപ്പുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ - എണ്ണക്കിണർ и ചെളിവെള്ളം - അവരുടെ ഉപകരണങ്ങൾ, ഇരകൾ, ബന്ധങ്ങൾ. എന്നാൽ എല്ലാവരേയും കുറിച്ചല്ല. ഏപ്രിലിൽ, ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾ ടർക്കിഷ് കോർപ്പറേഷനായ ASELSAN A.Ş യുടെ മെയിലിംഗ് വിലാസങ്ങൾ ചോർന്നതായി കണ്ടെത്തി, അത് തുർക്കി സായുധ സേനയ്ക്കായി തന്ത്രപരമായ സൈനിക റേഡിയോകളും ഇലക്ട്രോണിക് പ്രതിരോധ സംവിധാനങ്ങളും നിർമ്മിക്കുന്നു. അനസ്താസിയ ടിഖോനോവ, ഗ്രൂപ്പ്-ഐബി അഡ്വാൻസ്ഡ് ത്രെറ്റ് റിസർച്ച് ടീം ലീഡർ, കൂടാതെ നികിത റോസ്തോവ്സെവ്, ഗ്രൂപ്പ്-ഐബിയിലെ ജൂനിയർ അനലിസ്റ്റ്, ASELSAN A.Ş-ന് നേരെയുള്ള ആക്രമണത്തിന്റെ ഗതി വിവരിക്കുകയും ഒരു പങ്കാളിയെ കണ്ടെത്തുകയും ചെയ്തു. ചെളിവെള്ളം.

ടെലിഗ്രാം വഴിയുള്ള പ്രകാശം

ഇറാനിയൻ APT ഗ്രൂപ്പുകളുടെ ചോർച്ച ആരംഭിച്ചത് ഒരു നിശ്ചിത ലാബ് ദൗഖേഗൻ എന്ന വസ്തുതയോടെയാണ് പരസ്യമാക്കി ആറ് APT34 ടൂളുകളുടെ (OilRig, HelixKitten) സോഴ്‌സ് കോഡുകൾ, പ്രവർത്തനങ്ങളിൽ ഉൾപ്പെട്ടിരിക്കുന്ന IP വിലാസങ്ങളും ഡൊമെയ്‌നുകളും കൂടാതെ ഇത്തിഹാദ് എയർവേയ്‌സ്, എമിറേറ്റ്‌സ് നാഷണൽ ഓയിൽ എന്നിവയുൾപ്പെടെ ഹാക്കർമാരുടെ ഇരകളായ 66 പേരുടെ വിവരങ്ങളും വെളിപ്പെടുത്തി. ഗ്രൂപ്പിന്റെ മുൻകാല പ്രവർത്തനങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങളും ഗ്രൂപ്പിന്റെ പ്രവർത്തനങ്ങളുമായി ബന്ധമുണ്ടെന്ന് ആരോപിക്കപ്പെടുന്ന ഇറാനിയൻ ഇൻഫർമേഷൻ ആൻഡ് നാഷണൽ സെക്യൂരിറ്റി മന്ത്രാലയത്തിലെ ജീവനക്കാരെക്കുറിച്ചുള്ള വിവരങ്ങളും ലാബ് ദൂഖ്‌തേഗൻ ചോർത്തി. ഓയിൽ റിഗ്, 2014 മുതൽ നിലവിലുണ്ടായിരുന്ന, ഗവൺമെന്റ്, സാമ്പത്തിക, സൈനിക സംഘടനകളെയും മിഡിൽ ഈസ്റ്റിലെയും ചൈനയിലെയും ഊർജ്ജ, ടെലികമ്മ്യൂണിക്കേഷൻ കമ്പനികളെയും ലക്ഷ്യമിടുന്ന ഒരു ഇറാനുമായി ബന്ധിപ്പിച്ച APT ഗ്രൂപ്പാണ്.

ഓയിൽ റിഗ് തുറന്നുകാട്ടിയതിനുശേഷം, ചോർച്ച തുടർന്നു - ഇറാനിൽ നിന്നുള്ള മറ്റൊരു പ്രോ-സ്റ്റേറ്റ് ഗ്രൂപ്പിന്റെ പ്രവർത്തനങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ, മഡ്ഡിവാട്ടർ, ഡാർക്ക്നെറ്റിലും ടെലിഗ്രാമിലും പ്രത്യക്ഷപ്പെട്ടു. എന്നിരുന്നാലും, ആദ്യ ചോർച്ചയിൽ നിന്ന് വ്യത്യസ്തമായി, ഇത്തവണ പ്രസിദ്ധീകരിച്ചത് സോഴ്‌സ് കോഡുകളല്ല, സോഴ്‌സ് കോഡുകളുടെ സ്‌ക്രീൻഷോട്ടുകൾ, കൺട്രോൾ സെർവറുകൾ, ഹാക്കർമാരുടെ മുൻകാല ഇരകളുടെ ഐപി വിലാസങ്ങൾ എന്നിവ ഉൾപ്പെടെയുള്ള ഡംപുകളാണ്. ഇത്തവണ മഡ്ഡിവാട്ടറിനെക്കുറിച്ചുള്ള ചോർച്ചയുടെ ഉത്തരവാദിത്തം ഗ്രീൻ ലീക്കേഴ്സ് ഹാക്കർമാർ ഏറ്റെടുത്തു. MuddyWater പ്രവർത്തനങ്ങളുമായി ബന്ധപ്പെട്ട ഡാറ്റ പരസ്യം ചെയ്യുകയും വിൽക്കുകയും ചെയ്യുന്ന നിരവധി ടെലിഗ്രാം ചാനലുകളും ഡാർക്ക്നെറ്റ് സൈറ്റുകളും അവർക്ക് സ്വന്തമാണ്.

മിഡിൽ ഈസ്റ്റിൽ നിന്നുള്ള സൈബർ ചാരന്മാർ

ചെളിവെള്ളം മിഡിൽ ഈസ്റ്റിൽ 2017 മുതൽ സജീവമായ ഒരു ഗ്രൂപ്പാണ്. ഉദാഹരണത്തിന്, ഗ്രൂപ്പ്-ഐബി വിദഗ്ധർ സൂചിപ്പിക്കുന്നത് പോലെ, 2019 ഫെബ്രുവരി മുതൽ ഏപ്രിൽ വരെ, തുർക്കി, ഇറാൻ, അഫ്ഗാനിസ്ഥാൻ, ഇറാഖ്, അസർബൈജാൻ എന്നിവിടങ്ങളിലെ സർക്കാർ, വിദ്യാഭ്യാസ സ്ഥാപനങ്ങൾ, സാമ്പത്തിക, ടെലികമ്മ്യൂണിക്കേഷൻ, പ്രതിരോധ കമ്പനികൾ എന്നിവയെ ലക്ഷ്യമിട്ട് ഹാക്കർമാർ ഫിഷിംഗ് മെയിലിംഗുകളുടെ ഒരു പരമ്പര നടത്തി.

ഗ്രൂപ്പ് അംഗങ്ങൾ PowerShell അടിസ്ഥാനമാക്കിയുള്ള സ്വന്തം വികസനത്തിന്റെ ഒരു പിൻവാതിൽ ഉപയോഗിക്കുന്നു, അതിനെ വിളിക്കുന്നു പവർസ്റ്റാറ്റുകൾ. അവനു കഴിയും:

• പ്രാദേശിക, ഡൊമെയ്ൻ അക്കൗണ്ടുകൾ, ലഭ്യമായ ഫയൽ സെർവറുകൾ, ആന്തരികവും ബാഹ്യവുമായ IP വിലാസങ്ങൾ, പേര്, OS ആർക്കിടെക്ചർ എന്നിവയെക്കുറിച്ചുള്ള ഡാറ്റ ശേഖരിക്കുക;
• വിദൂര കോഡ് നിർവ്വഹണം നടത്തുക;
• C&C വഴി ഫയലുകൾ അപ്‌ലോഡ് ചെയ്യുകയും ഡൗൺലോഡ് ചെയ്യുകയും ചെയ്യുക;
• ക്ഷുദ്ര ഫയലുകളുടെ വിശകലനത്തിൽ ഉപയോഗിക്കുന്ന ഡീബഗ്ഗിംഗ് പ്രോഗ്രാമുകളുടെ സാന്നിധ്യം കണ്ടെത്തുക;
• ക്ഷുദ്ര ഫയലുകൾ വിശകലനം ചെയ്യുന്നതിനുള്ള പ്രോഗ്രാമുകൾ കണ്ടെത്തിയാൽ സിസ്റ്റം ഷട്ട്ഡൗൺ ചെയ്യുക;
• ലോക്കൽ ഡ്രൈവുകളിൽ നിന്ന് ഫയലുകൾ ഇല്ലാതാക്കുക;
• സ്ക്രീൻഷോട്ടുകൾ എടുക്കുക;
• Microsoft Office ഉൽപ്പന്നങ്ങളിലെ സുരക്ഷാ നടപടികൾ പ്രവർത്തനരഹിതമാക്കുക.

ചില സമയങ്ങളിൽ, ആക്രമണകാരികൾക്ക് ഒരു തെറ്റ് സംഭവിച്ചു, ടെഹ്‌റാനിൽ സ്ഥിതി ചെയ്യുന്ന അവസാന ഐപി വിലാസം റിയാക്റ്റയിൽ നിന്നുള്ള ഗവേഷകർക്ക് ലഭിച്ചു. ഗ്രൂപ്പ് ആക്രമിച്ച ലക്ഷ്യങ്ങളും സൈബർ ചാരവൃത്തിയുമായി ബന്ധപ്പെട്ട ലക്ഷ്യങ്ങളും കണക്കിലെടുക്കുമ്പോൾ, ഗ്രൂപ്പ് ഇറാനിയൻ സർക്കാരിന്റെ താൽപ്പര്യങ്ങളെ പ്രതിനിധീകരിക്കുന്നുവെന്ന് വിദഗ്ധർ അഭിപ്രായപ്പെടുന്നു.

ആക്രമണ സൂചകങ്ങൾC&C:

• ഗ്ലാഡിയേറ്റർ[.]tk
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

ഫയലുകൾ:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

തുർക്കി ആക്രമണത്തിലാണ്

10 ഏപ്രിൽ 2019 ന്, തുർക്കിയിലെ സൈനിക ഇലക്ട്രോണിക്സ് മേഖലയിലെ ഏറ്റവും വലിയ കമ്പനിയായ ടർക്കിഷ് കമ്പനിയായ ASELSAN A.Ş യുടെ മെയിലിംഗ് വിലാസങ്ങൾ ചോർന്നതായി ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾ കണ്ടെത്തി. റഡാറും ഇലക്ട്രോണിക്‌സും, ഇലക്‌ട്രോ-ഒപ്‌റ്റിക്‌സ്, ഏവിയോണിക്‌സ്, ആളില്ലാ സംവിധാനങ്ങൾ, കര, നാവിക, ആയുധങ്ങൾ, വ്യോമ പ്രതിരോധ സംവിധാനങ്ങൾ എന്നിവ ഇതിന്റെ ഉൽപ്പന്നങ്ങളിൽ ഉൾപ്പെടുന്നു.

POWERSTATS മാൽവെയറിന്റെ പുതിയ സാമ്പിളുകളിൽ ഒന്ന് പഠിക്കുമ്പോൾ, ഗ്രൂപ്പ്-ഐബി വിദഗ്ധർ, ആക്രമണകാരികളുടെ MuddyWater ഗ്രൂപ്പ്, Koç Savunma എന്ന കമ്പനിയും, വിവര പ്രതിരോധ സാങ്കേതിക വിദ്യകളിൽ സൊല്യൂഷനുകൾ നിർമ്മിക്കുന്ന കമ്പനിയും Tubitak Bilgem ഉം തമ്മിലുള്ള ലൈസൻസ് കരാർ ഒരു ഭോഗമായി ഉപയോഗിച്ചതായി കണ്ടെത്തി. , ഒരു വിവര സുരക്ഷാ ഗവേഷണ കേന്ദ്രവും നൂതന സാങ്കേതികവിദ്യകളും. Koç Savunma-യുടെ കോൺടാക്റ്റ് വ്യക്തി, Koç Bilgi ve Savunma Teknolojileri A.Ş-ൽ പ്രോഗ്രാം മാനേജർ സ്ഥാനം വഹിച്ചിരുന്ന താഹിർ ടാനർ Tımış ആയിരുന്നു. 2013 സെപ്റ്റംബർ മുതൽ 2018 ഡിസംബർ വരെ. പിന്നീട് അദ്ദേഹം ASELSAN A.Ş-ൽ ജോലി ചെയ്യാൻ തുടങ്ങി.

സാമ്പിൾ decoy പ്രമാണം
ഉപയോക്താവ് ക്ഷുദ്രകരമായ മാക്രോകൾ സജീവമാക്കിയ ശേഷം, POWERSTATS ബാക്ക്‌ഡോർ ഇരയുടെ കമ്പ്യൂട്ടറിലേക്ക് ഡൗൺലോഡ് ചെയ്യപ്പെടും.

ഈ ഡികോയ് ഡോക്യുമെന്റിന്റെ മെറ്റാഡാറ്റയ്ക്ക് നന്ദി (MD5: 0638adf8fb4095d60fbef190a759aa9e) സൃഷ്ടി തീയതിയും സമയവും, ഉപയോക്തൃനാമം, മാക്രോകളുടെ ഒരു ലിസ്റ്റ് എന്നിവയുൾപ്പെടെ സമാനമായ മൂല്യങ്ങൾ അടങ്ങിയ മൂന്ന് അധിക സാമ്പിളുകൾ കണ്ടെത്താൻ ഗവേഷകർക്ക് കഴിഞ്ഞു:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

വിവിധ ഡികോയ് ഡോക്യുമെന്റുകളുടെ സമാന മെറ്റാഡാറ്റയുടെ സ്ക്രീൻഷോട്ട്

പേരിനൊപ്പം കണ്ടെത്തിയ രേഖകളിൽ ഒന്ന് ListOfHackedEmails.doc ഡൊമെയ്‌നിൽ ഉൾപ്പെടുന്ന 34 ഇമെയിൽ വിലാസങ്ങളുടെ ഒരു ലിസ്റ്റ് അടങ്ങിയിരിക്കുന്നു @aselsan.com.tr.

ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾ പൊതുവായി ലഭ്യമായ ചോർച്ചകളിൽ ഇമെയിൽ വിലാസങ്ങൾ പരിശോധിച്ചപ്പോൾ അവയിൽ 28 എണ്ണം മുമ്പ് കണ്ടെത്തിയ ചോർച്ചകളിൽ വിട്ടുവീഴ്ച ചെയ്തതായി കണ്ടെത്തി. ലഭ്യമായ ചോർച്ചകളുടെ മിശ്രിതം പരിശോധിക്കുമ്പോൾ, ഈ ഡൊമെയ്‌നുമായി ബന്ധപ്പെട്ട 400 തനത് ലോഗിനുകളും അവയ്‌ക്കുള്ള പാസ്‌വേഡുകളും കാണിച്ചു. ASELSAN A.Ş-നെ ആക്രമിക്കാൻ അക്രമികൾ പൊതുവായി ലഭ്യമായ ഈ ഡാറ്റ ഉപയോഗിച്ചിരിക്കാം.

ListOfHackedEmails.doc എന്ന പ്രമാണത്തിന്റെ സ്ക്രീൻഷോട്ട്

പൊതു ചോർച്ചകളിൽ കണ്ടെത്തിയ 450-ലധികം ലോഗിൻ-പാസ്‌വേഡ് ജോഡികളുടെ ലിസ്‌റ്റിന്റെ സ്‌ക്രീൻഷോട്ട്
കണ്ടെത്തിയ സാമ്പിളുകളിൽ തലക്കെട്ടുള്ള ഒരു രേഖയും ഉണ്ടായിരുന്നു F35-Specifications.doc, F-35 യുദ്ധവിമാനത്തെ പരാമർശിക്കുന്നു. വിമാനത്തിന്റെ സവിശേഷതകളും വിലയും സൂചിപ്പിക്കുന്ന F-35 മൾട്ടി-റോൾ ഫൈറ്റർ-ബോംബറിന്റെ ഒരു സ്പെസിഫിക്കേഷനാണ് ബെയ്റ്റ് ഡോക്യുമെന്റ്. തുർക്കി S-35 സിസ്റ്റങ്ങൾ വാങ്ങിയതിനുശേഷം F-400-കൾ വിതരണം ചെയ്യാൻ യുഎസ് വിസമ്മതിച്ചതും F-35 Lightning II നെക്കുറിച്ചുള്ള വിവരങ്ങൾ റഷ്യയിലേക്ക് കൈമാറുമെന്ന ഭീഷണിയുമായി നേരിട്ട് ബന്ധപ്പെട്ടതാണ് ഈ decoy പ്രമാണത്തിന്റെ വിഷയം.

ലഭിച്ച എല്ലാ വിവരങ്ങളും സൂചിപ്പിക്കുന്നത് MuddyWater സൈബർ ആക്രമണത്തിന്റെ പ്രധാന ലക്ഷ്യം തുർക്കിയിലെ സംഘടനകളാണെന്നാണ്.

ആരാണ് ഗ്ലാഡിയേറ്റർ_സിആർകെയും നിമ നിക്ജൂവും?

നേരത്തെ, 2019 മാർച്ചിൽ, Gladiyator_CRK എന്ന വിളിപ്പേരിൽ ഒരു വിൻഡോസ് ഉപയോക്താവ് സൃഷ്ടിച്ച ക്ഷുദ്ര പ്രമാണങ്ങൾ കണ്ടെത്തി. ഈ ഡോക്യുമെന്റുകൾ POWERSTATS ബാക്ക്‌ഡോർ വിതരണം ചെയ്യുകയും സമാനമായ പേരിലുള്ള ഒരു C&C സെർവറുമായി ബന്ധിപ്പിക്കുകയും ചെയ്തു ഗ്ലാഡിയേറ്റർ[.]tk.

14 മാർച്ച് 2019-ന് നിമ നിക്ജൂ എന്ന ഉപയോക്താവ് ട്വിറ്ററിൽ പോസ്റ്റ് ചെയ്തതിന് ശേഷം, MuddyWater-മായി ബന്ധപ്പെട്ട അവ്യക്തമായ കോഡ് ഡീകോഡ് ചെയ്യാൻ ശ്രമിച്ചതിന് ശേഷം ഇത് ചെയ്തിരിക്കാം. ഈ വിവരം രഹസ്യമായതിനാൽ, ഈ ക്ഷുദ്രവെയറിന് വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങൾ പങ്കിടാൻ കഴിയില്ലെന്ന് ഈ ട്വീറ്റിലെ അഭിപ്രായങ്ങളിൽ ഗവേഷകൻ പറഞ്ഞു. നിർഭാഗ്യവശാൽ, പോസ്റ്റ് ഇതിനകം തന്നെ ഇല്ലാതാക്കി, പക്ഷേ അതിന്റെ സൂചനകൾ ഓൺലൈനിൽ തുടരുന്നു:

ഇറാനിയൻ വീഡിയോ ഹോസ്റ്റിംഗ് സൈറ്റുകളായ dideo.ir, videoi.ir എന്നിവയിലെ Gladiyator_CRK പ്രൊഫൈലിന്റെ ഉടമയാണ് Nima Nikjoo. ഈ സൈറ്റിൽ, വിവിധ വെണ്ടർമാരിൽ നിന്നുള്ള ആന്റിവൈറസ് ടൂളുകൾ പ്രവർത്തനരഹിതമാക്കുന്നതിനും സാൻഡ്‌ബോക്‌സുകൾ ബൈപാസ് ചെയ്യുന്നതിനുമുള്ള PoC ചൂഷണം അദ്ദേഹം പ്രകടമാക്കുന്നു. ഇറാനിയൻ ടെലികമ്മ്യൂണിക്കേഷൻസ് കമ്പനിയായ എംടിഎൻ ഇറാൻസെല്ലിൽ ജോലി ചെയ്യുന്ന റിവേഴ്‌സ് എഞ്ചിനീയറും മാൽവെയർ അനലിസ്റ്റും താനൊരു നെറ്റ്‌വർക്ക് സെക്യൂരിറ്റി സ്പെഷ്യലിസ്റ്റാണെന്നും നിമ നിക്ജൂ തന്നെക്കുറിച്ച് എഴുതുന്നു.

Google തിരയൽ ഫലങ്ങളിൽ സംരക്ഷിച്ച വീഡിയോകളുടെ സ്ക്രീൻഷോട്ട്:

പിന്നീട്, 19 മാർച്ച് 2019 ന്, സോഷ്യൽ നെറ്റ്‌വർക്കായ Twitter-ലെ ഉപയോക്താവ് Nima Nikjoo തന്റെ വിളിപ്പേര് മാൽവെയർ ഫൈറ്റർ എന്നാക്കി മാറ്റുകയും അനുബന്ധ പോസ്റ്റുകളും അഭിപ്രായങ്ങളും ഇല്ലാതാക്കുകയും ചെയ്തു. വീഡിയോ ഹോസ്റ്റിംഗ് dideo.ir-ലെ Gladiyator_CRK-യുടെ പ്രൊഫൈലും YouTube-ലെ പോലെ ഇല്ലാതാക്കി, പ്രൊഫൈലിന്റെ പേര് തന്നെ N Tabrizi എന്ന് പുനർനാമകരണം ചെയ്തു. എന്നിരുന്നാലും, ഏകദേശം ഒരു മാസത്തിനുശേഷം (ഏപ്രിൽ 16, 2019), ട്വിറ്റർ അക്കൗണ്ട് നിമ നിക്ജൂ എന്ന പേര് വീണ്ടും ഉപയോഗിക്കാൻ തുടങ്ങി.

പഠനത്തിനിടെ, സൈബർ ക്രിമിനൽ പ്രവർത്തനങ്ങളുമായി ബന്ധപ്പെട്ട് നിമ നിക്ജൂവിനെ ഇതിനകം പരാമർശിച്ചിട്ടുണ്ടെന്ന് ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾ കണ്ടെത്തി. 2014 ഓഗസ്റ്റിൽ, ഇറാനിയൻ നസ്ർ ഇൻസ്റ്റിറ്റ്യൂട്ട് എന്ന സൈബർ ക്രിമിനൽ ഗ്രൂപ്പുമായി ബന്ധപ്പെട്ട വ്യക്തികളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഇറാൻ ഖബറേസ്ഥാൻ ബ്ലോഗ് പ്രസിദ്ധീകരിച്ചു. ഒരു ഫയർ ഐ അന്വേഷണത്തിൽ നാസർ ഇൻസ്റ്റിറ്റ്യൂട്ട് APT33-ന്റെ കരാറുകാരനാണെന്നും ഓപ്പറേഷൻ അബാബിൽ എന്ന കാമ്പെയ്‌നിന്റെ ഭാഗമായി 2011-നും 2013-നും ഇടയിൽ യുഎസ് ബാങ്കുകൾക്ക് നേരെയുള്ള DDoS ആക്രമണങ്ങളിലും പങ്കാളിയായിരുന്നെന്നും പറയുന്നു.

അതിനാൽ അതേ ബ്ലോഗിൽ, ഇറാനികളെ ചാരപ്പണി ചെയ്യാൻ ക്ഷുദ്രവെയർ വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്ന നിമ നിക്ജു-നിക്ജുവിനെയും അവന്റെ ഇമെയിൽ വിലാസത്തെയും പരാമർശിച്ചു: gladiyator_cracker@yahoo[.]com.

ഇറാനിയൻ നാസർ ഇൻസ്റ്റിറ്റ്യൂട്ടിൽ നിന്നുള്ള സൈബർ ക്രിമിനലുകൾക്ക് കാരണമായ ഡാറ്റയുടെ സ്ക്രീൻഷോട്ട്:

ഹൈലൈറ്റ് ചെയ്ത വാചകത്തിന്റെ റഷ്യൻ ഭാഷയിലേക്ക് വിവർത്തനം: നിമ നികിയോ - സ്പൈവെയർ ഡെവലപ്പർ - ഇമെയിൽ:.

ഈ വിവരങ്ങളിൽ നിന്ന് കാണാൻ കഴിയുന്നത് പോലെ, ഇമെയിൽ വിലാസം ആക്രമണങ്ങളിൽ ഉപയോഗിച്ച വിലാസവുമായും Gladiyator_CRK, Nima Nikjoo എന്നീ ഉപയോക്താക്കളുമായും ബന്ധപ്പെട്ടിരിക്കുന്നു.

കൂടാതെ, 15 ജൂൺ 2017 ലെ ലേഖനത്തിൽ നിക്ജൂ തന്റെ ബയോഡാറ്റയിൽ കാവോഷ് സെക്യൂരിറ്റി സെന്ററിനെക്കുറിച്ചുള്ള പരാമർശങ്ങൾ പോസ്റ്റുചെയ്യുന്നതിൽ അൽപ്പം അശ്രദ്ധയായിരുന്നുവെന്ന് പ്രസ്താവിച്ചു. കഴിക്കുക അഭിപ്രായംഗവൺമെന്റ് അനുകൂല ഹാക്കർമാർക്ക് സാമ്പത്തിക സഹായം നൽകാൻ കവോഷ് സെക്യൂരിറ്റി സെന്റർ ഇറാൻ ഭരണകൂടം പിന്തുണയ്ക്കുന്നു.

നിമ നിക്ജൂ ജോലി ചെയ്തിരുന്ന കമ്പനിയെക്കുറിച്ചുള്ള വിവരങ്ങൾ:

ട്വിറ്റർ ഉപയോക്താവായ നിമ നിക്ജൂവിന്റെ ലിങ്ക്ഡ്ഇൻ പ്രൊഫൈലിൽ അദ്ദേഹം 2006 മുതൽ 2014 വരെ ജോലി ചെയ്തിരുന്ന കാവോഷ് സെക്യൂരിറ്റി സെന്റർ എന്ന തന്റെ ആദ്യ തൊഴിൽ സ്ഥലം പട്ടികപ്പെടുത്തിയിട്ടുണ്ട്. തന്റെ ജോലി സമയത്ത്, അദ്ദേഹം വിവിധ ക്ഷുദ്രവെയറുകൾ പഠിച്ചു, കൂടാതെ റിവേഴ്സ്, അവ്യക്തതയുമായി ബന്ധപ്പെട്ട ജോലികളും കൈകാര്യം ചെയ്തു.

ലിങ്ക്ഡ്ഇനിൽ നിമ നിക്ജൂ ജോലി ചെയ്തിരുന്ന കമ്പനിയെക്കുറിച്ചുള്ള വിവരങ്ങൾ:

ചെളിവെള്ളവും ഉയർന്ന ആത്മാഭിമാനവും

MuddyWater ഗ്രൂപ്പ് അവരെക്കുറിച്ച് പ്രസിദ്ധീകരിക്കുന്ന വിവര സുരക്ഷാ വിദഗ്ധരിൽ നിന്നുള്ള എല്ലാ റിപ്പോർട്ടുകളും സന്ദേശങ്ങളും ശ്രദ്ധാപൂർവ്വം നിരീക്ഷിക്കുന്നു, മാത്രമല്ല ഗവേഷകരെ മണക്കാതിരിക്കാൻ ബോധപൂർവം തെറ്റായ പതാകകൾ പോലും ആദ്യം അവശേഷിപ്പിക്കുകയും ചെയ്യുന്നു എന്നത് കൗതുകകരമാണ്. ഉദാഹരണത്തിന്, FIN7 ഗ്രൂപ്പുമായി സാധാരണയായി ബന്ധപ്പെട്ടിരുന്ന DNS മെസഞ്ചറിന്റെ ഉപയോഗം കണ്ടെത്തി അവരുടെ ആദ്യ ആക്രമണങ്ങൾ വിദഗ്ധരെ തെറ്റിദ്ധരിപ്പിച്ചു. മറ്റ് ആക്രമണങ്ങളിൽ, അവർ കോഡിലേക്ക് ചൈനീസ് സ്ട്രിംഗുകൾ ചേർത്തു.

കൂടാതെ, ഗവേഷകർക്കായി സന്ദേശങ്ങൾ അയയ്ക്കാൻ ഗ്രൂപ്പ് ഇഷ്ടപ്പെടുന്നു. ഉദാഹരണത്തിന്, കാസ്‌പെർസ്‌കി ലാബ് ഈ വർഷത്തെ ഭീഷണി റേറ്റിംഗിൽ MuddyWater-നെ മൂന്നാം സ്ഥാനത്ത് എത്തിച്ചത് അവർക്ക് ഇഷ്ടപ്പെട്ടില്ല. അതേ നിമിഷത്തിൽ, ആരോ - മഡ്ഡിവാട്ടർ ഗ്രൂപ്പ് - YouTube-ലേക്ക് LK ആന്റിവൈറസ് പ്രവർത്തനരഹിതമാക്കുന്ന ഒരു ചൂഷണത്തിന്റെ PoC അപ്‌ലോഡ് ചെയ്തു. ലേഖനത്തിന് താഴെ അവർ ഒരു കമന്റും ഇട്ടിട്ടുണ്ട്.

Kaspersky Lab ആന്റിവൈറസ് പ്രവർത്തനരഹിതമാക്കുന്നതിനുള്ള വീഡിയോയുടെ സ്ക്രീൻഷോട്ടുകളും താഴെയുള്ള കമന്ററിയും:

"നിമ നിക്ജൂ" യുടെ പങ്കാളിത്തത്തെക്കുറിച്ച് വ്യക്തമായ ഒരു നിഗമനത്തിലെത്താൻ ഇപ്പോഴും ബുദ്ധിമുട്ടാണ്. ഗ്രൂപ്പ്-ഐബി വിദഗ്ധർ രണ്ട് പതിപ്പുകൾ പരിഗണിക്കുന്നു. നിമ നിക്ജൂ, തീർച്ചയായും, MuddyWater ഗ്രൂപ്പിൽ നിന്നുള്ള ഒരു ഹാക്കർ ആയിരിക്കാം, തന്റെ അശ്രദ്ധയും നെറ്റ്‌വർക്കിലെ വർദ്ധിച്ച പ്രവർത്തനവും കാരണം വെളിച്ചത്ത് വന്നതാണ്. രണ്ടാമത്തെ ഓപ്ഷൻ, സംശയം തങ്ങളിൽ നിന്ന് വഴിതിരിച്ചുവിടാൻ ഗ്രൂപ്പിലെ മറ്റ് അംഗങ്ങൾ അവനെ മനഃപൂർവ്വം "വെളിപ്പെടുത്തി" എന്നതാണ്. എന്തായാലും, ഗ്രൂപ്പ്-ഐബി അതിന്റെ ഗവേഷണം തുടരുന്നു, തീർച്ചയായും അതിന്റെ ഫലങ്ങൾ റിപ്പോർട്ട് ചെയ്യും.

ഇറാനിയൻ APT- കളെ സംബന്ധിച്ചിടത്തോളം, ചോർച്ചകളുടെയും ചോർച്ചകളുടെയും ഒരു പരമ്പരയ്ക്ക് ശേഷം, അവർ ഒരുപക്ഷേ ഗുരുതരമായ "വിശദീകരണം" നേരിടേണ്ടിവരും - ഹാക്കർമാർ അവരുടെ ഉപകരണങ്ങൾ ഗൗരവമായി മാറ്റാനും ട്രാക്കുകൾ വൃത്തിയാക്കാനും അവരുടെ റാങ്കുകളിൽ സാധ്യമായ "മോളുകൾ" കണ്ടെത്താനും നിർബന്ധിതരാകും. സമയപരിധി പോലും എടുക്കുമെന്ന് വിദഗ്ധർ തള്ളിക്കളയുന്നില്ല, എന്നാൽ ഒരു ചെറിയ ഇടവേളയ്ക്ക് ശേഷം, ഇറാനിയൻ APT ആക്രമണങ്ങൾ വീണ്ടും തുടർന്നു.

അവലംബം: www.habr.com