تجسس جديد على Telegram Messenger API قراصنة إيرانيون يستخدمون برامج تجسس ضارة جديدة على Telegram Messenger API تم الكشف عن جهة فاعلة تهدد العلاقة الجيوسياسية الإيرانية تنشر برنامجين خبيرين مستهدفين جديدين يأتيان بوظائف خلفية “بسيطة” كجزء من تدخل ضد كيان حكومي في الشرق الأوسط لم يذكر اسمه في نوفمبر 2021.

عزت شركة الأمن السيبراني Mandiant الهجوم إلى مجموعة غير مصنفة تتبعها تحت لقب UNC3313 ، والتي تقيمها “بثقة معتدلة” على أنها مرتبطة بمجموعة MuddyWater التي ترعاها الدولة.

قال الباحثون رايان تومسيك وإيميل هيجبيرت وطفيل أحمد: “تجري UNC3313 مراقبة وتجمع معلومات استراتيجية لدعم المصالح الإيرانية وعملية صنع القرار”. “تُظهر أنماط الاستهداف والإغراءات ذات الصلة تركيزًا قويًا على الأهداف ذات الصلة الجيوسياسية.”

في منتصف كانون الثاني (يناير) 2022 ، وصفت وكالات الاستخبارات الأمريكية MuddyWater (المعروف أيضًا باسم Static Kitten أو Seedworm أو TEMP.Zagros أو Mercury) بأنه عنصر ثانوي من وزارة الاستخبارات والأمن الإيرانية (MOIS) التي كانت نشطة منذ عام 2018 على الأقل وهي من المعروف أنها تستخدم مجموعة واسعة من الأدوات والتقنيات في عملياتها.

يُقال إن الهجمات قد تم تدبيرها عبر رسائل التصيد للحصول على وصول أولي ، تليها الاستفادة من أدوات الأمان الهجومية المتاحة للجمهور وبرامج الوصول عن بُعد للحركة الجانبية والحفاظ على الوصول إلى البيئة.

تم تصميم رسائل البريد الإلكتروني للتصيد الاحتيالي باستخدام إغراء الترقية الوظيفية وخدعت العديد من الضحايا للنقر فوق عنوان URL لتنزيل ملف أرشيف RAR مستضاف على OneHub ، مما مهد الطريق لتثبيت ScreenConnect ، وهو برنامج وصول عن بُعد شرعي ، للحصول على موطئ قدم.

وأشار الباحثون إلى أن “UNC3313 تحرك بسرعة لإنشاء وصول عن بعد باستخدام ScreenConnect لاختراق الأنظمة في غضون ساعة من التسوية الأولية” ، مضيفين أنه تم احتواء الحادث الأمني ​​ومعالجته بسرعة.

تضمنت المراحل اللاحقة من الهجوم تصعيد الامتيازات ، وتنفيذ استطلاع داخلي على الشبكة المستهدفة ، وتشغيل أوامر PowerShell المبهمة لتنزيل أدوات وحمولات إضافية على الأنظمة البعيدة.

لوحظ أيضًا وجود باب خلفي غير موثق سابقًا يسمى STARWHALE ، وهو ملف Windows Script (.WSF) ينفذ الأوامر المستلمة من خادم الأوامر والتحكم (C2) المشفر عبر HTTP.

شي اخر تم تسليمه أثناء الهجوم GRAMDOOR ، وقد سمي بهذا الاسم نظرًا لاستخدامها Telegram API لاتصالاتها الشبكية مع الخادم الذي يتحكم فيه المهاجمون في محاولة للتهرب من الاكتشاف ، ومرة ​​أخرى تسلط الضوء على استخدام أدوات الاتصال لتسهيل التسلل البيانات. تجسس جديد على Telegram Messenger API

تتزامن النتائج أيضًا مع استشارة مشتركة جديدة من وكالات الأمن السيبراني من المملكة المتحدة والولايات المتحدة ، تتهم مجموعة MuddyWater بهجمات تجسس تستهدف قطاعات الدفاع والحكومة المحلية والنفط والغاز الطبيعي والاتصالات في جميع أنحاء العالم.

Share.

Leave A Reply