मड्डी वाटर्स: कसरी मड्डीवाटरका ह्याकरहरूले सैन्य इलेक्ट्रोनिक्सको टर्की निर्मातालाई आक्रमण गरे

इरानी सरकार समर्थक ह्याकरहरू ठूलो समस्यामा छन्। वसन्त भरि, अज्ञात व्यक्तिहरूले टेलिग्राममा "गोप्य चुहावट" प्रकाशित गरे - इरानी सरकारसँग सम्बन्धित एपीटी समूहहरूको जानकारी - तेलरेग и धुलो पानी - तिनीहरूका उपकरणहरू, पीडितहरू, जडानहरू। तर सबैको बारेमा होइन। अप्रिलमा, समूह-आईबी विशेषज्ञहरूले टर्की सशस्त्र बलका लागि रणनीतिक सैन्य रेडियो र इलेक्ट्रोनिक रक्षा प्रणालीहरू उत्पादन गर्ने टर्की निगम ASELSAN A.Ş को मेलिङ ठेगानाहरूको चुहावट पत्ता लगाए। Anastasia Tikhonova, समूह-आईबी उन्नत खतरा अनुसन्धान टोली नेता, र निकिता रोस्तोवत्सेव, Group-IB मा कनिष्ठ विश्लेषक, ASELSAN A.Ş मा आक्रमणको पाठ्यक्रम वर्णन गरे र सम्भावित सहभागी भेट्टाए। धुलो पानी.

टेलिग्राम मार्फत रोशनी

इरानी एपीटी समूहहरूको चुहावट एक निश्चित ल्याब दोख्तेगनबाट सुरु भयो सार्वजनिक गरियो छवटा APT34 उपकरणहरू (उर्फ OilRig र HelixKitten) को स्रोत कोडहरूले सञ्चालनमा संलग्न IP ठेगानाहरू र डोमेनहरू, साथै इतिहाद एयरवेज र एमिरेट्स नेशनल आयललगायत ह्याकरहरूको शिकार भएका 66 वटा डेटाको खुलासा गर्‍यो। ल्याब Doookhtegan ले समूहको विगतका अपरेशनहरू र इरानी सूचना र राष्ट्रिय सुरक्षा मन्त्रालयका कर्मचारीहरूको बारेमा जानकारी पनि लीक गरेको छ जो कथित रूपमा समूहको सञ्चालनसँग सम्बन्धित छन्। OilRig एक इरान-सम्बन्धित APT समूह हो जुन लगभग 2014 देखि अवस्थित छ र यसले सरकारी, वित्तीय र सैन्य संगठनहरू, साथै मध्य पूर्व र चीनमा ऊर्जा र दूरसञ्चार कम्पनीहरूलाई लक्षित गर्दछ।

OilRig खुलासा भएपछि, चुहावट जारी रह्यो - इरानको अर्को प्रो-स्टेट समूह, मड्डीवाटरको गतिविधिहरूको बारेमा जानकारी डार्कनेट र टेलिग्राममा देखा पर्‍यो। यद्यपि, पहिलो चुहावटको विपरीत, यो पटक प्रकाशित गरिएको स्रोत कोडहरू थिएनन्, तर स्रोत कोडहरूको स्क्रिनसटहरू, नियन्त्रण सर्भरहरू, साथै ह्याकरहरूको विगतका पीडितहरूको आईपी ठेगानाहरू सहित डम्पहरू। यस पटक, ग्रीन लीकर्स ह्याकरहरूले मड्डीवाटरको बारेमा चुहावटको जिम्मेवारी लिए। तिनीहरूसँग धेरै टेलिग्राम च्यानलहरू र डार्कनेट साइटहरू छन् जहाँ उनीहरूले मड्डीवाटर सञ्चालनहरूसँग सम्बन्धित डेटाको विज्ञापन र बिक्री गर्छन्।

मध्य पूर्वबाट साइबर जासूसहरू

धुलो पानी मध्यपूर्वमा 2017 देखि सक्रिय रहेको एउटा समूह हो। उदाहरणका लागि, समूह-IB विशेषज्ञहरूले नोट गरे अनुसार, फेब्रुअरीदेखि अप्रिल 2019 सम्म, ह्याकरहरूले टर्की, इरान, अफगानिस्तान, इराक र अजरबैजानका सरकार, शैक्षिक संस्थाहरू, वित्तीय, दूरसञ्चार र रक्षा कम्पनीहरूलाई लक्षित गरी फिसिङ मेलिङहरूको एक श्रृंखला गरे।

समूहका सदस्यहरूले PowerShell मा आधारित आफ्नै विकासको पछाडिको ढोका प्रयोग गर्छन्, जसलाई भनिन्छ POWERSTATS। उसले सक्छ:

• स्थानीय र डोमेन खाताहरू, उपलब्ध फाइल सर्भरहरू, आन्तरिक र बाह्य आईपी ठेगानाहरू, नाम र OS वास्तुकलाको बारेमा डेटा सङ्कलन गर्नुहोस्;
• रिमोट कोड कार्यान्वयन गर्न;
• C&C मार्फत फाइलहरू अपलोड र डाउनलोड गर्नुहोस्;
• दुर्भावनापूर्ण फाइलहरूको विश्लेषणमा प्रयोग गरिएका डिबगिङ कार्यक्रमहरूको उपस्थिति पत्ता लगाउनुहोस्;
• यदि खराब फाइलहरू विश्लेषण गर्ने कार्यक्रमहरू फेला परेमा प्रणाली बन्द गर्नुहोस्;
• स्थानीय ड्राइभबाट फाइलहरू मेटाउनुहोस्;
• स्क्रिनसटहरू लिनुहोस्;
• Microsoft Office उत्पादनहरूमा सुरक्षा उपायहरू असक्षम पार्नुहोस्।

केही बिन्दुमा, आक्रमणकारीहरूले गल्ती गरे र ReaQta का अनुसन्धानकर्ताहरूले अन्तिम आईपी ठेगाना प्राप्त गर्न सफल भए, जुन तेहरानमा अवस्थित थियो। समूहद्वारा आक्रमण गरिएका लक्ष्यहरू र साइबर जासूसीसँग सम्बन्धित यसको लक्ष्यहरूलाई ध्यानमा राख्दै, विशेषज्ञहरूले सुझाव दिएका छन् कि समूहले इरानी सरकारको हितको प्रतिनिधित्व गर्दछ।

आक्रमण सूचकहरूC&C:

• ग्लेडिएटर [.] tk
• २१७.२३.१४ [।] २७
• २१७.२३.१४ [।] २७
• २१७.२३.१४ [।] २७
• २१७.२३.१४ [।] २७

फाईलहरू:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

टर्की आक्रमणमा परेको छ

अप्रिल १०, २०१९ मा, समूह-आईबी विशेषज्ञहरूले टर्कीमा सैन्य इलेक्ट्रोनिक्सको क्षेत्रमा सबैभन्दा ठूलो कम्पनी ASELSAN A.Ş को मेलिङ ठेगानाहरूको चुहावट पत्ता लगाए। यसका उत्पादनहरूमा राडार र इलेक्ट्रोनिक्स, इलेक्ट्रो-अप्टिक्स, एभियोनिक्स, मानवरहित प्रणाली, भूमि, नौसेना, हतियार र वायु रक्षा प्रणालीहरू समावेश छन्।

पावरस्टाट्स मालवेयरको नयाँ नमूनाहरू मध्ये एउटा अध्ययन गर्दै, समूह-आईबी विशेषज्ञहरूले निर्धारण गरे कि आक्रमणकारीहरूको मड्डीवाटर समूहले चाराको रूपमा प्रयोग गरेको कोस सावुनमा, सूचना र रक्षा प्रविधिको क्षेत्रमा समाधान उत्पादन गर्ने कम्पनी र टुबिटक बिल्जेम बीचको इजाजतपत्र सम्झौताको दस्तावेज हो। , एक सूचना सुरक्षा अनुसन्धान केन्द्र र उन्नत प्रविधिहरू। Koç Savunma को लागि सम्पर्क व्यक्ति ताहिर तानेर Tımış थिए, जसले Koç Bilgi ve Savunma Teknolojileri A.Ş मा कार्यक्रम प्रबन्धकको पद सम्हालेका थिए। सेप्टेम्बर 2013 देखि डिसेम्बर 2018 सम्म। पछि उनले ASELSAN A.Ş मा काम गर्न थाले।

नमूना डिकोय कागजात
प्रयोगकर्ताले खराब म्याक्रो सक्रिय गरेपछि, POWERSTATS ब्याकडोर पीडितको कम्प्युटरमा डाउनलोड हुन्छ।

यस डिकोय कागजातको मेटाडेटालाई धन्यवाद (MD5: 0638adf8fb4095d60fbef190a759aa9e) शोधकर्ताहरूले समान मानहरू समावेश गरी तीनवटा थप नमूनाहरू फेला पार्न सक्षम भए, जसमा सिर्जना मिति र समय, प्रयोगकर्ता नाम, र समावेश म्याक्रोहरूको सूची समावेश छ:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

विभिन्न decoy कागजातहरूको समान मेटाडेटाको स्क्रिनसट

नामको साथ पत्ता लगाइएको कागजात मध्ये एक ListOfHackedEmails.doc डोमेनसँग सम्बन्धित ३४ इमेल ठेगानाहरूको सूची समावेश गर्दछ @aselsan.com.tr.

समूह-आईबी विशेषज्ञहरूले सार्वजनिक रूपमा उपलब्ध लीकहरूमा इमेल ठेगानाहरू जाँच गरे र पत्ता लगाए कि तिनीहरूमध्ये 28 पहिले पत्ता लागेको लीकहरूमा सम्झौता गरिएको थियो। उपलब्ध लीकहरूको मिश्रण जाँच गर्दा यस डोमेनसँग सम्बन्धित लगभग 400 अद्वितीय लगइनहरू र तिनीहरूका लागि पासवर्डहरू देखाए। यो सम्भव छ कि आक्रमणकारीहरूले ASELSAN A.Ş मा आक्रमण गर्न सार्वजनिक रूपमा उपलब्ध डाटा प्रयोग गरे।

ListOfHackedEmails.doc कागजातको स्क्रिनसट

सार्वजनिक चुहावटमा 450 भन्दा बढी पत्ता लगइन-पासवर्ड जोडीहरूको सूचीको स्क्रिनसट
फेला परेका नमूनाहरू मध्ये शीर्षक सहितको कागजात पनि थियो F35-Specifications.docF-35 लडाकु विमानको सन्दर्भमा। चारा कागजात F-35 बहु-भूमिका लडाकू-बमबारको लागि एक विनिर्देश हो, जसले विमानको विशेषता र मूल्यलाई संकेत गर्दछ। यस डिकोय कागजातको विषय टर्कीले S-35 प्रणालीहरू खरिद गरेपछि F-400s आपूर्ति गर्न अमेरिकी अस्वीकार र F-35 लाइटनिङ II को बारेमा जानकारी रूसलाई हस्तान्तरण गर्ने धम्कीसँग प्रत्यक्ष रूपमा सम्बन्धित छ।

प्राप्त सबै डाटाले संकेत गर्यो कि मड्डीवाटर साइबर आक्रमणको मुख्य लक्ष्य टर्कीमा अवस्थित संगठनहरू थिए।

को हुन् ग्लेडिएटर_सीआरके र निमा निक्जु ?

यसअघि, मार्च २०१९ मा, ग्लेडिएटर_सीआरके उपनाम अन्तर्गत एक विन्डोज प्रयोगकर्ताले सिर्जना गरेको खराब कागजातहरू पत्ता लगाइएको थियो। यी कागजातहरूले POWERSTATS ब्याकडोर पनि वितरण गर्यो र समान नामको C&C सर्भरमा जडान भयो। ग्लेडिएटर [.] tk.

प्रयोगकर्ता निमा निक्जूले मार्च 14, 2019 मा ट्विटरमा पोस्ट गरेपछि मड्डीवाटरसँग सम्बन्धित अस्पष्ट कोड डिकोड गर्ने प्रयास गरेपछि यो गरिएको हुन सक्छ। यस ट्वीटमा टिप्पणीहरूमा, अनुसन्धानकर्ताले भने कि उनले यो मालवेयरको लागि सम्झौताको सूचकहरू साझा गर्न सक्दैनन्, किनकि यो जानकारी गोप्य छ। दुर्भाग्यवश, पोस्ट पहिले नै मेटाइएको छ, तर यसको ट्रेसहरू अनलाइन रहन्छन्:

निमा निक्जू इरानी भिडियो होस्टिङ साइट dideo.ir र videoi.ir मा ग्लेडिएटर_CRK प्रोफाइलको मालिक हुन्। यस साइटमा, उसले विभिन्न विक्रेताहरू र बाइपास स्यान्डबक्सहरूबाट एन्टिभाइरस उपकरणहरू असक्षम पार्न PoC शोषणहरू प्रदर्शन गर्दछ। निमा निक्जू आफ्नो बारेमा लेख्छन् कि उनी नेटवर्क सुरक्षा विशेषज्ञ हुन्, साथै रिभर्स इन्जिनियर र मालवेयर विश्लेषक हुन् जसले इरानी दूरसञ्चार कम्पनी MTN Irancell का लागि काम गर्छन्।

Google खोज परिणामहरूमा सुरक्षित गरिएका भिडियोहरूको स्क्रिनसट:

पछि, मार्च 19, 2019 मा, सामाजिक सञ्जाल ट्विटरमा प्रयोगकर्ता निमा निक्जूले आफ्नो उपनाम बदलेर मालवेयर फाइटर राखे, र सम्बन्धित पोस्ट र टिप्पणीहरू पनि हटाए। भिडियो होस्टिंग dideo.ir मा ग्लेडिएटर_CRK को प्रोफाइल पनि मेटाइएको थियो, जस्तै YouTube मा भएको थियो, र प्रोफाइल आफैंलाई N Tabrizi नामकरण गरिएको थियो। तर, झण्डै एक महिनापछि (अप्रिल १६, २०१९) ट्विटर खाताले फेरि निमा निक्जू नाम प्रयोग गर्न थाल्यो।

अध्ययनको क्रममा, समूह-आईबी विशेषज्ञहरूले पत्ता लगाए कि निमा निक्जू पहिले नै साइबर आपराधिक गतिविधिहरूको सम्बन्धमा उल्लेख गरिएको थियो। अगस्ट २०१४ मा, इरान खबररेस्तान ब्लगले साइबर अपराधी समूह इरानी नासर इन्स्टिच्युटसँग सम्बन्धित व्यक्तिहरूको बारेमा जानकारी प्रकाशित गर्‍यो। एक FireEye अनुसन्धानले बताएको छ कि नसर संस्थान APT2014 को लागि ठेकेदार थियो र 33 र 2011 को बीचमा अमेरिकी बैंकहरूमा DDoS आक्रमणमा अपरेशन अबबिल नामक अभियानको भागको रूपमा संलग्न थियो।

त्यसोभए उही ब्लगमा, निमा निक्जु-निकजूलाई उल्लेख गरिएको थियो, जसले इरानीहरूलाई जासुसी गर्न मालवेयर विकास गरिरहेको थियो, र उनको इमेल ठेगाना: gladiator_cracker@yahoo[.]com।

इरानी नसर संस्थानबाट साइबर अपराधीहरूलाई श्रेय दिइएको डाटाको स्क्रिनसट:

हाइलाइट गरिएको पाठको रूसीमा अनुवाद: निमा निकियो - स्पाइवेयर विकासकर्ता - इमेल:.

यस जानकारीबाट देख्न सकिन्छ, इमेल ठेगाना आक्रमणहरूमा प्रयोग गरिएको ठेगाना र प्रयोगकर्ताहरू ग्लेडिएटर_सीआरके र निमा निक्जूसँग सम्बन्धित छ।

थप रूपमा, जुन 15, 2017 को लेखमा निक्जू आफ्नो रिजुमेमा काभोस सुरक्षा केन्द्रको सन्दर्भ पोस्ट गर्नमा केही लापरवाह थिए भनी उल्लेख गरिएको थियो। खानुहोस् रायकाभोस सेक्युरिटी सेन्टरलाई सरकार समर्थक ह्याकरहरूलाई आर्थिक सहयोग गर्न इरानी राज्यले समर्थन गरेको छ।

निमा निक्जुले काम गरेको कम्पनीको बारेमा जानकारी:

ट्विटर प्रयोगकर्ता निमा निक्जूको लिंक्डइन प्रोफाइलले उनको पहिलो रोजगारीको स्थान Kavosh सुरक्षा केन्द्रको रूपमा सूचीबद्ध गर्दछ, जहाँ उनले 2006 देखि 2014 सम्म काम गरे। आफ्नो कामको क्रममा, उहाँले विभिन्न मालवेयर अध्ययन गर्नुभयो, र उल्टो र अस्पष्ट-सम्बन्धित कामको साथ पनि व्यवहार गर्नुभयो।

लिंक्डइनमा निमा निक्जूले काम गरेको कम्पनीको बारेमा जानकारी:

मड्डीवाटर र उच्च आत्म-सम्मान

यो जिज्ञासु छ कि मड्डीवाटर समूहले उनीहरूको बारेमा प्रकाशित सूचना सुरक्षा विशेषज्ञहरूबाट सबै रिपोर्टहरू र सन्देशहरू सावधानीपूर्वक अनुगमन गर्दछ, र अनुसन्धानकर्ताहरूलाई सुगन्धबाट बाहिर फाल्न जानबूझकर पहिले झूटा झण्डाहरू पनि छोड्यो। उदाहरणका लागि, तिनीहरूको पहिलो आक्रमणले DNS मेसेन्जरको प्रयोग पत्ता लगाएर विशेषज्ञहरूलाई बहकाएको थियो, जुन सामान्यतया FIN7 समूहसँग सम्बन्धित थियो। अन्य आक्रमणहरूमा, तिनीहरूले कोडमा चिनियाँ तारहरू घुसाए।

थप रूपमा, समूहले अनुसन्धानकर्ताहरूको लागि सन्देशहरू छोड्न मन पराउँछ। उदाहरणका लागि, उनीहरूलाई मन परेन कि क्यास्परस्की ल्याबले मड्डीवाटरलाई वर्षको लागि खतरा रेटिङमा तेस्रो स्थानमा राख्यो। उही क्षणमा, कसैले - सम्भवतः मड्डीवाटर समूहले - YouTube मा एक शोषणको PoC अपलोड गर्‍यो जसले LK एन्टिभाइरसलाई असक्षम पार्छ। तिनीहरूले लेख अन्तर्गत एक टिप्पणी पनि छोडे।

क्यास्परस्की ल्याब एन्टिभाइरस असक्षम पार्ने भिडियोको स्क्रिनसटहरू र तलको टिप्पणी:

"निमा निक्जू" को संलग्नता को बारे मा एक स्पष्ट निष्कर्ष बनाउन अझै पनि गाह्रो छ। समूह-आईबी विशेषज्ञहरूले दुई संस्करणहरू विचार गर्दै छन्। निमा निक्जू, वास्तवमा, मड्डीवाटर समूहको ह्याकर हुन सक्छ, जो आफ्नो लापरवाही र नेटवर्कमा बढेको गतिविधिका कारण प्रकाशमा आएको थियो। दोस्रो विकल्प यो हो कि उसलाई जानाजानी समूहका अन्य सदस्यहरूले आफूबाट शंका हटाउनको लागि "उद्घाटन" गरेको थियो। कुनै पनि अवस्थामा, समूह-आईबीले आफ्नो अनुसन्धान जारी राख्छ र निश्चित रूपमा यसको परिणाम रिपोर्ट गर्नेछ।

इरानी एपीटीहरूको लागि, चुहावट र चुहावटको श्रृंखला पछि, उनीहरूले सायद गम्भीर "डिब्रीफिंग" को सामना गर्नुपर्नेछ - ह्याकरहरू गम्भीर रूपमा आफ्ना उपकरणहरू परिवर्तन गर्न, तिनीहरूको ट्र्याकहरू सफा गर्न र तिनीहरूको श्रेणीमा सम्भावित "मोलहरू" फेला पार्न बाध्य हुनेछन्। विज्ञहरूले इन्कार गरेनन् कि उनीहरूले टाइमआउट पनि लिनेछन्, तर छोटो ब्रेक पछि, इरानी एपीटी आक्रमणहरू फेरि जारी रह्यो।

स्रोत: www.habr.com