گزارش‌های جدید حاکی از آن است که یک گروه هکتیویست بلاروسی موفق شده است برای نزدیک به دو سال در شبکه یک سازمان بهداشتی در روسیه حضور داشته باشد و احتمالاً به داده‌های حساس پزشکی دسترسی پیدا کند.
جزئیات شناسایی و بازه زمانی نفوذ
شرکت امنیتی Solar (از زیرمجموعه‌های Rostelecom) اعلام کرد که این نفوذ را در دسامبر ۲۰۲۵ شناسایی کرده است، اما با بررسی ردپاهای دیجیتال، مشخص شد که سرایت (Infection) اولیه از اوایل سال ۲۰۲۴ آغاز شده بود. تحلیلگران این حمله را به گروه Cyber Partisans بلاروس نسبت می‌دهند؛ گروهی که پیش از این حملات تخریبی گسترده‌ای را علیه سازمان‌های دولتی و تجاری در بلاروس و روسیه ترتیب داده بود.
استراتژی نفوذ و حملات مبتنی بر اعتماد
اگرچه نام سازمان هدف فاش نشده است، اما Solar اشاره کرد که این سازمان دارای زیرساخت‌های گسترده‌ای با ارتباطات متعدد با سایر مراکز بهداشتی بوده است. این موضوع به عامل تهدید (Threat Actor) فرصت داده تا از این شبکه به عنوان یک پل برای اجرای Trusted-relationship attacks استفاده کند. در این نوع حملات، هکرها ابتدا سازمانی را که مورد اعتماد هدف نهایی استe compromet می‌کنند و سپس از طریق این ارتباطات معتبر، به هدف اصلی دسترسی می‌یابند.
نکته قابل توجه این است که مهاجمان با وجود دسترسی به داده‌های حساس، هیچ‌گونه فعالیت تخریبی در سیستم‌ها انجام نداده‌اند. تحلیلگران معتقدند این رویکرد برای حفظ دسترسی بلندمدت جهت جاسوسی و گسترش عملیات بوده است.
ابزار مورد استفاده: بدافزار Vasilek
در این عملیات از یک Backdoor ویندوزی به نام Vasilek استفاده شده است که برای ارتباط با سرورهای فرماندهی و کنترل (C2) از پیام‌رسان تلگرام بهره می‌برد. قابلیت‌های این بدافزار شامل موارد زیر است:
- جمع‌آوری اطلاعات سیستم و ثبت کلیدهای فشار داده شده (Keystroke recording)
- اجرای دستورات ویندوز و مدیریت پروسه‌ها
- انتقال فایل‌ها و دریافت اسکرین‌شات از سیستم قربانی
- قابلیت به‌روزرسانی یا حذف خودکار برای پاکسازی ردپاها
با وجود محدودیت‌های تلگرام در روسیه، تحلیلگران معتقدند مهاجمان قادرند به سرعت روش‌های ارتباطی خود را برای حفظ اتصال تغییر دهند.
