گزارش‌های جدید از یک کمپین جاسوسی سایبری گسترده خبر می‌دهند که هدف آن اتباع ایرانی خارج از کشور و مخالفان سیاسی است. این حملات با هدف جمع‌آوری اطلاعات و نقض حریم خصوصی افراد صورت می‌گیرد، اما شواهدی وجود دارد که نشان می‌دهد اهداف ثانویه این حملات، سرقت اعتبارنامه‌های (Credentials) شبکه‌های سازمانی است.
روش‌های نفوذ و مهندسی اجتماعی
عامل تهدید (Threat Actor) در این کمپین ابتدا با هدف ایجاد اعتماد، ارتباطاتی را با قربانی برقرار می‌کند و سپس او را متقاعد می‌کند تا فایلاتی را که معتبر به نظر می‌رسند دانلود و اجرا کند (T1204.002). این فایل‌ها معمولاً در دو قالب زیر توزیع شده‌اند:
- اپلیکیشن‌هایی که در ظاهر قانونی و کاربردی هستند.
- فایل‌هایی که به عنوان نتایج اسکن MRI جعل شده‌اند.
تحلیل بدافزار CHOSEN BRICK
پس از اجرای فایل‌های مذکور، تروجانی با نام CHOSEN BRICK روی سیستم قربانی نصب می‌شود. تحلیل‌های فنی نشان می‌دهد که این بدافزار فاقد قابلیت‌های جابه‌جایی جانبی (Lateral Movement) است و صرفاً برای هدف قرار دادن تک‌دستگاه‌ها طراحی شده است.
استراتژی توزیع و اهداف
عامل تهدید در ابتدا تلاش می‌کند بدافزار را از طریق دستگاه‌های کاری یا سازمانی قربانی وارد کند. در صورتی که این تلاش با شکست مواجه شود یا ریسک شناسایی توسط سیستم‌های امنیتی بالا باشد، مهاجم تلاش می‌کند روند توزیع را به دستگاه‌های شخصی منتقل کند. طبق تحلیل‌ها، این فعالیت‌ها با الگوهای عملیاتی گروه‌های وابسته به سپاه پاسداران (IRGC) همخوانی دارد که علاوه بر جاسوسی، در حملات سایبری جنایی نیز فعال هستند.
