गढूळ पाणी: मड्डीवॉटरच्या हॅकर्सनी लष्करी इलेक्ट्रॉनिक्सच्या तुर्की उत्पादकावर कसा हल्ला केला

इराणी सरकार समर्थक हॅकर्स मोठ्या संकटात सापडले आहेत. संपूर्ण वसंत ऋतूमध्ये, अज्ञात लोकांनी टेलिग्रामवर "गुप्त गळती" प्रकाशित केली - इराण सरकारशी संबंधित एपीटी गटांची माहिती - तेल उकरणी и गढुळ पाणी — त्यांची साधने, बळी, कनेक्शन. पण प्रत्येकाबद्दल नाही. एप्रिलमध्ये, ग्रुप-आयबीच्या तज्ञांना तुर्की कॉर्पोरेशन ASELSAN A.Ş च्या मेलिंग पत्त्याची गळती आढळली, जी तुर्की सशस्त्र दलांसाठी सामरिक सैन्य रेडिओ आणि इलेक्ट्रॉनिक संरक्षण प्रणाली तयार करते. अनास्तासिया तिखोनोवा, ग्रुप-आयबी प्रगत धोका संशोधन टीम लीडर, आणि निकिता रोस्तोवत्सेव्ह, Group-IB मधील कनिष्ठ विश्लेषक, ASELSAN A.Ş वरील हल्ल्याचे वर्णन केले आणि संभाव्य सहभागी शोधले गढुळ पाणी.

टेलीग्राम द्वारे प्रदीपन

इराणी एपीटी गटांची गळती एका विशिष्ट लॅब डोख्तेगनच्या वस्तुस्थितीपासून सुरू झाली सार्वजनिक केले सहा APT34 टूल्स (उर्फ OilRig आणि HelixKitten) च्या स्त्रोत कोडने ऑपरेशन्समध्ये गुंतलेले IP पत्ते आणि डोमेन तसेच इतिहाद एअरवेज आणि एमिरेट्स नॅशनल ऑइलसह हॅकर्सच्या 66 बळींचा डेटा उघड केला. लॅब डूख्तेगनने गटाच्या मागील ऑपरेशन्सबद्दलचा डेटा आणि इराणच्या माहिती आणि राष्ट्रीय सुरक्षा मंत्रालयाच्या कर्मचार्‍यांची माहिती देखील लीक केली आहे जे या गटाच्या ऑपरेशनशी कथितपणे संबंधित आहेत. OilRig हा इराण-संबंधित APT गट आहे जो सुमारे 2014 पासून अस्तित्वात आहे आणि मध्य पूर्व आणि चीनमधील सरकारी, आर्थिक आणि लष्करी संस्था तसेच ऊर्जा आणि दूरसंचार कंपन्यांना लक्ष्य करतो.

ऑइलरिगचा पर्दाफाश झाल्यानंतर, गळती सुरूच राहिली - इराणमधील दुसर्‍या प्रो-स्टेट गट मडीवॉटरच्या क्रियाकलापांची माहिती डार्कनेट आणि टेलिग्रामवर दिसून आली. तथापि, पहिल्या लीकच्या विपरीत, यावेळी प्रकाशित केलेले स्त्रोत कोड नव्हते, परंतु स्त्रोत कोडचे स्क्रीनशॉट, नियंत्रण सर्व्हर तसेच हॅकर्सच्या मागील बळींचे आयपी पत्त्यांसह डंप होते. यावेळी ग्रीन लीकर्सच्या हॅकर्सनी मड्डीवॉटरच्या गळतीची जबाबदारी घेतली. त्यांच्याकडे अनेक टेलीग्राम चॅनेल आणि डार्कनेट साइट आहेत जिथे ते मडीवॉटर ऑपरेशन्सशी संबंधित डेटाची जाहिरात आणि विक्री करतात.

मध्यपूर्वेतील सायबर हेर

गढुळ पाणी मध्य पूर्व मध्ये 2017 पासून सक्रिय असलेला एक गट आहे. उदाहरणार्थ, ग्रुप-IB तज्ञांच्या नोंदीनुसार, फेब्रुवारी ते एप्रिल 2019 पर्यंत, हॅकर्सनी तुर्की, इराण, अफगाणिस्तान, इराक आणि अझरबैजानमधील सरकार, शैक्षणिक संस्था, आर्थिक, दूरसंचार आणि संरक्षण कंपन्यांना उद्देशून फिशिंग मेलिंगची मालिका केली.

गट सदस्य PowerShell वर आधारित त्यांच्या स्वत: च्या विकासासाठी मागील दरवाजा वापरतात, ज्याला म्हणतात पॉवरस्टॅट्स. तो करू शकतो:

• स्थानिक आणि डोमेन खाती, उपलब्ध फाइल सर्व्हर, अंतर्गत आणि बाह्य IP पत्ते, नाव आणि OS आर्किटेक्चर बद्दल डेटा गोळा करा;
• रिमोट कोडची अंमलबजावणी करा;
• C&C द्वारे फायली अपलोड आणि डाउनलोड करा;
• दुर्भावनापूर्ण फायलींच्या विश्लेषणामध्ये वापरल्या जाणार्‍या डीबगिंग प्रोग्रामची उपस्थिती शोधणे;
• दुर्भावनायुक्त फायलींचे विश्लेषण करणारे प्रोग्राम आढळल्यास सिस्टम बंद करा;
• स्थानिक ड्राइव्हवरून फायली हटवा;
• स्क्रीनशॉट घ्या;
• मायक्रोसॉफ्ट ऑफिस उत्पादनांमध्ये सुरक्षा उपाय अक्षम करा.

काही क्षणी, हल्लेखोरांनी चूक केली आणि ReaQta मधील संशोधक तेहरानमध्ये असलेला अंतिम IP पत्ता मिळवण्यात यशस्वी झाले. या गटाने आक्रमण केलेले लक्ष्य, तसेच सायबर हेरगिरीशी संबंधित त्याची उद्दिष्टे पाहता, तज्ञांनी असे सुचवले आहे की हा गट इराण सरकारच्या हिताचे प्रतिनिधित्व करतो.

आक्रमण निर्देशकC&C:

• ग्लॅडिएटर[.]tk
• ८८.९९.१७१[.]१०५
• ८८.९९.१७१[.]१०५
• ८८.९९.१७१[.]१०५
• ८८.९९.१७१[.]१०५

फायली:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

तुर्कियांच्या हल्ल्यात

10 एप्रिल 2019 रोजी, Group-IB तज्ञांना तुर्कीमधील लष्करी इलेक्ट्रॉनिक्स क्षेत्रातील सर्वात मोठी कंपनी ASELSAN A.Ş या तुर्की कंपनीचे मेलिंग पत्ते लीक झाल्याचे आढळले. त्याच्या उत्पादनांमध्ये रडार आणि इलेक्ट्रॉनिक्स, इलेक्ट्रो-ऑप्टिक्स, एव्हीओनिक्स, मानवरहित प्रणाली, जमीन, नौदल, शस्त्रे आणि हवाई संरक्षण प्रणाली यांचा समावेश आहे.

पॉवरस्टॅट्स मालवेअरच्या नवीन नमुन्यांपैकी एकाचा अभ्यास करून, ग्रुप-आयबी तज्ञांनी ठरवले की आक्रमणकर्त्यांच्या मडीवॉटर गटाने आमिष म्हणून वापरलेल्या कोस सवुनमा, माहिती आणि संरक्षण तंत्रज्ञानाच्या क्षेत्रात समाधाने निर्माण करणारी कंपनी आणि टुबिटाक बिल्गेम यांच्यातील परवाना कराराचा दस्तऐवज आहे. , माहिती सुरक्षा संशोधन केंद्र आणि प्रगत तंत्रज्ञान. Koç Savunma साठी संपर्क व्यक्ती ताहिर तानेर Tımış होते, ज्यांनी Koç Bilgi ve Savunma Teknolojileri A.Ş येथे कार्यक्रम व्यवस्थापकाचे पद भूषवले होते. सप्टेंबर 2013 ते डिसेंबर 2018 पर्यंत. नंतर तो ASELSAN A.Ş येथे काम करू लागला.

नमुना डिकॉय दस्तऐवज
वापरकर्त्याने दुर्भावनापूर्ण मॅक्रो सक्रिय केल्यानंतर, पॉवरस्टेट्स बॅकडोअर पीडिताच्या संगणकावर डाउनलोड केला जातो.

या डिकॉय दस्तऐवजाच्या मेटाडेटाबद्दल धन्यवाद (MD5: 0638adf8fb4095d60fbef190a759aa9e) संशोधकांना समान मूल्ये असलेले तीन अतिरिक्त नमुने शोधण्यात सक्षम होते, ज्यामध्ये निर्मितीची तारीख आणि वेळ, वापरकर्तानाव आणि समाविष्ट असलेल्या मॅक्रोची सूची समाविष्ट आहे:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

विविध डिकॉय दस्तऐवजांच्या एकसारख्या मेटाडेटाचा स्क्रीनशॉट

नावासह सापडलेल्या कागदपत्रांपैकी एक ListOfHackedEmails.doc डोमेनशी संबंधित 34 ईमेल पत्त्यांची सूची आहे @aselsan.com.tr.

ग्रुप-आयबी तज्ञांनी सार्वजनिकरित्या उपलब्ध लीकमधील ईमेल पत्ते तपासले आणि त्यांना आढळले की 28 पूर्वी शोधलेल्या लीकमध्ये तडजोड केली गेली होती. उपलब्ध लीकचे मिश्रण तपासताना या डोमेनशी संबंधित सुमारे 400 अनन्य लॉगिन आणि त्यांच्यासाठी पासवर्ड दिसून आले. हे शक्य आहे की हल्लेखोरांनी हा सार्वजनिकपणे उपलब्ध डेटा ASELSAN A.Ş वर हल्ला करण्यासाठी वापरला.

ListOfHackedEmails.doc दस्तऐवजाचा स्क्रीनशॉट

सार्वजनिक लीकमध्ये सापडलेल्या 450 हून अधिक लॉगिन-पासवर्ड जोड्यांच्या सूचीचा स्क्रीनशॉट
शोधलेल्या नमुन्यांमध्ये शीर्षकासह एक दस्तऐवज देखील होता F35-Specifications.doc, F-35 लढाऊ विमानाचा संदर्भ देत. आमिष दस्तऐवज F-35 मल्टी-रोल फायटर-बॉम्बरसाठी एक तपशील आहे, जे विमानाची वैशिष्ट्ये आणि किंमत दर्शवते. तुर्कस्तानने S-35 सिस्टीम खरेदी केल्यानंतर F-400 चा पुरवठा करण्यास अमेरिकेने नकार दिल्याने आणि F-35 लाइटनिंग II ची माहिती रशियाला हस्तांतरित करण्याच्या धमकीशी या डिकॉय दस्तऐवजाचा विषय थेट संबंधित आहे.

प्राप्त झालेल्या सर्व डेटावरून असे सूचित होते की मडीवॉटर सायबर हल्ल्यांचे मुख्य लक्ष्य तुर्कीमध्ये असलेल्या संस्था होत्या.

ग्लॅडिएटर_सीआरके आणि निमा निक्जू कोण आहेत?

यापूर्वी, मार्च 2019 मध्ये, ग्लॅडिएटर_सीआरके या टोपणनावाने एका विंडोज वापरकर्त्याने दुर्भावनापूर्ण दस्तऐवज तयार केले होते. या दस्तऐवजांनी पॉवरस्टेट्स बॅकडोअर वितरीत केले आणि त्याच नावाच्या C&C सर्व्हरशी कनेक्ट केले. ग्लॅडिएटर[.]tk.

मडीवॉटरशी संबंधित अस्पष्ट कोड डीकोड करण्याचा प्रयत्न करत 14 मार्च 2019 रोजी निमा निक्जूने ट्विटरवर पोस्ट केल्यानंतर हे केले गेले असावे. या ट्विटवरील टिप्पण्यांमध्ये, संशोधकाने सांगितले की तो या मालवेअरसाठी तडजोडीचे संकेतक सामायिक करू शकत नाही, कारण ही माहिती गोपनीय आहे. दुर्दैवाने, पोस्ट आधीच हटविली गेली आहे, परंतु त्याचे ट्रेस ऑनलाइन राहिले आहेत:

नीमा निक्जू ही इराणी व्हिडिओ होस्टिंग साइट dideo.ir आणि videoi.ir वर ग्लॅडिएटर_CRK प्रोफाइलची मालक आहे. या साइटवर, तो विविध विक्रेत्यांकडून अँटीव्हायरस टूल्स अक्षम करण्यासाठी आणि सँडबॉक्सेस बायपास करण्यासाठी PoC शोषणे दाखवतो. निमा निक्जू स्वतःबद्दल लिहितात की ते नेटवर्क सुरक्षा तज्ञ आहेत, तसेच एक रिव्हर्स इंजिनियर आणि मालवेअर विश्लेषक आहेत जे MTN Irancell या इराणी टेलिकम्युनिकेशन कंपनीसाठी काम करतात.

Google शोध परिणामांमध्ये जतन केलेल्या व्हिडिओंचा स्क्रीनशॉट:

नंतर, 19 मार्च 2019 रोजी, सोशल नेटवर्क ट्विटरवरील निमा निक्जूने त्याचे टोपणनाव बदलून मालवेअर फायटर केले आणि संबंधित पोस्ट आणि टिप्पण्या हटवल्या. व्हिडिओ होस्टिंग dideo.ir वरील ग्लॅडिएटर_CRK चे प्रोफाईल देखील हटवण्यात आले होते, जसे की YouTube वर होते आणि प्रोफाईलचेच नाव N Tabrizi असे ठेवण्यात आले. तथापि, जवळजवळ एक महिन्यानंतर (16 एप्रिल, 2019), ट्विटर खात्याने पुन्हा निमा निक्जू हे नाव वापरण्यास सुरुवात केली.

अभ्यासादरम्यान, ग्रुप-आयबीच्या तज्ज्ञांना असे आढळून आले की निमा निक्जूचा सायबर गुन्हेगारी क्रियाकलापांच्या संबंधात आधीच उल्लेख केला गेला आहे. ऑगस्ट 2014 मध्ये, इराण खबररेस्तान ब्लॉगने इराणी नसर इन्स्टिट्यूट या सायबर गुन्हेगारी गटाशी संबंधित व्यक्तींची माहिती प्रकाशित केली. फायरआयच्या एका तपासात असे म्हटले आहे की नसर संस्था APT33 साठी कंत्राटदार होती आणि ऑपरेशन अबाबिल नावाच्या मोहिमेचा एक भाग म्हणून 2011 आणि 2013 दरम्यान यूएस बँकांवर DDoS हल्ल्यांमध्ये देखील सामील होती.

तर त्याच ब्लॉगमध्ये, निमा निक्जू-निकजूचा उल्लेख करण्यात आला होता, जो इराणी लोकांची हेरगिरी करण्यासाठी मालवेअर विकसित करत होता आणि त्याचा ईमेल पत्ता: gladiator_cracker@yahoo[.]com.

इराणी नसर संस्थेकडून सायबर गुन्हेगारांना श्रेय दिलेल्या डेटाचा स्क्रीनशॉट:

हायलाइट केलेल्या मजकुराचे रशियनमध्ये भाषांतर: निमा निकिओ - स्पायवेअर विकसक - ईमेल:.

या माहितीवरून पाहिल्याप्रमाणे, ईमेल पत्ता हल्ल्यांमध्ये वापरलेल्या पत्त्याशी आणि ग्लॅडिएटर_सीआरके आणि निमा निक्जू वापरकर्त्यांशी संबंधित आहे.

याव्यतिरिक्त, 15 जून, 2017 च्या लेखात असे म्हटले आहे की निक्जू त्याच्या रेझ्युमेवर कावोश सुरक्षा केंद्राचे संदर्भ पोस्ट करण्यात काहीसे निष्काळजी होते. खा मतकावोश सिक्युरिटी सेंटरला सरकार समर्थक हॅकर्सना वित्तपुरवठा करण्यासाठी इराणी राज्याने पाठिंबा दिला आहे.

निमा निक्जू ज्या कंपनीत काम करत होत्या त्याबद्दल माहिती:

ट्विटर वापरकर्ता निमा निक्जूच्या लिंक्डइन प्रोफाइलमध्ये कावोश सिक्युरिटी सेंटर म्हणून नोकरीचे पहिले ठिकाण आहे, जिथे त्यांनी 2006 ते 2014 पर्यंत काम केले. त्याच्या कामाच्या दरम्यान, त्याने विविध मालवेअरचा अभ्यास केला, आणि उलट आणि अस्पष्टतेशी संबंधित काम देखील हाताळले.

लिंक्डइनवर निमा निक्जू या कंपनीबद्दल माहिती:

गढूळ पाणी आणि उच्च स्वाभिमान

हे उत्सुक आहे की मडीवॉटर गट त्यांच्याबद्दल प्रकाशित केलेल्या माहिती सुरक्षा तज्ञांच्या सर्व अहवाल आणि संदेशांचे काळजीपूर्वक निरीक्षण करतो आणि संशोधकांना सुगंध दूर करण्यासाठी प्रथम जाणूनबुजून खोटे झेंडे सोडले. उदाहरणार्थ, त्यांच्या पहिल्या हल्ल्यांनी DNS मेसेंजरचा वापर शोधून तज्ञांची दिशाभूल केली, जे सामान्यतः FIN7 गटाशी संबंधित होते. इतर हल्ल्यांमध्ये, त्यांनी कोडमध्ये चिनी स्ट्रिंग घातले.

याव्यतिरिक्त, गटाला संशोधकांसाठी संदेश सोडणे आवडते. उदाहरणार्थ, कॅस्परस्की लॅबने मड्डीवॉटरला वर्षाच्या धोक्याच्या रेटिंगमध्ये तिसरे स्थान दिले हे त्यांना आवडले नाही. त्याच क्षणी, कोणीतरी - बहुधा मडीवॉटर ग्रुपने - YouTube वर शोषणाचे PoC अपलोड केले जे LK अँटीव्हायरस अक्षम करते. त्यांनी लेखाखाली एक टिप्पणी देखील दिली.

कॅस्परस्की लॅब अँटीव्हायरस अक्षम करण्यावरील व्हिडिओचे स्क्रीनशॉट आणि खालील भाष्य:

"निमा निक्जू" च्या सहभागाबद्दल अस्पष्ट निष्कर्ष काढणे अद्याप कठीण आहे. ग्रुप-आयबी तज्ञ दोन आवृत्त्यांचा विचार करत आहेत. निमा निक्जू, खरंच, मडीवॉटर ग्रुपचा हॅकर असू शकतो, जो त्याच्या निष्काळजीपणामुळे आणि नेटवर्कवरील वाढत्या क्रियाकलापांमुळे प्रकाशात आला. दुसरा पर्याय असा आहे की तो स्वतःवरील संशय दूर करण्यासाठी गटातील इतर सदस्यांनी जाणीवपूर्वक "उघड" केले. कोणत्याही परिस्थितीत, ग्रुप-आयबी त्यांचे संशोधन सुरू ठेवेल आणि निश्चितपणे त्याचे परिणाम कळवेल.

इराणी एपीटीसाठी, लीक आणि लीकच्या मालिकेनंतर, त्यांना कदाचित गंभीर "डीब्रीफिंग" ला सामोरे जावे लागेल - हॅकर्सना त्यांची साधने गंभीरपणे बदलण्यास, त्यांचे ट्रॅक साफ करण्यास आणि त्यांच्या श्रेणींमध्ये संभाव्य "मोल्स" शोधण्यास भाग पाडले जाईल. तज्ञांनी नाकारले नाही की ते टाइमआउट देखील घेतील, परंतु थोड्या विश्रांतीनंतर, इराणी एपीटी हल्ले पुन्हा चालू राहिले.

स्त्रोत: www.habr.com