گزارش‌های فنی اخیر نشان می‌دهد که یک گروه هکری مرتبط با بلاروس با نام Partisan Zmiy (یا همان Cyber Partisans)، به مدت نزدیک به دو سال در شبکه یک سازمان مراقبت‌های بهداشتی نفوذ کرده بود. این گروه با استفاده از بک‌دور (Backdoor) اختصاصی خود به نام Vasilek، توانسته بود بدون ایجاد اختلال در زیرساخت، به مدت طولانی در شبکه باقی بماند.
مکانیزم نفوذ و پایداری (Persistence)
بر اساس تحلیل‌های انجام شده، این مهاجمان از یک روش بسیار هوشمندانه برای حفظ دسترسی خود استفاده کرده‌اند. آن‌ها با سوءاستفاده از دایرکتوری‌های مورد اعتماد اما بدون نظارت در VMware Tools، اقدام به جایگزینی فایل‌های اصلی یا قرار دادن فایل‌های مخرب کرده‌اند:
- ایجاد یک سرویس لودر-اسکجولر با نام “vmauad” که خود را به عنوان یکی از اجزای قانونی VMware معرفی می‌کند تا از بازرسی‌های سطحی عبور کند.
- جایگزینی فایل vmtools.dll با نسخه‌ای مخرب که حاوی بک‌دور است.
- اجرای فایل اجرایی authd.exe در مسیر VMware Tools برای راه‌اندازی تونل‌های ارتباطی و اجرای نسخه‌های به‌روز شده Vasilek.
قابلیت‌های بک‌دور Vasilek
بک‌دور Vasilek که برای کنترل و فرماندهی (C2) از پلتفرم Telegram استفاده می‌کند، قابلیت‌های گسترده‌ای دارد که شامل موارد زیر است:
- جمع‌آوری اطلاعات سیستم و اجرای دستورات Windows.
- ضبط کلیدهای فشرده شده (Keylogging) و تهیه اسکرین‌شات (Screenshot).
- انتقال فایل‌ها و ارتقای سطح دسترسی (Privilege Escalation) از طریق دستور runas.
- قابلیت جدید move_cursor برای کنترل ماوس و شبیه‌سازی ورودی کاربر جهت دور زدن مکانیزم‌های امنیتی.
استراتژی مخفی‌کاری و عملیاتی
برخلاف حملات سنتی که هدف آن‌ها تخریب سریع است، این گروه بر روی Operational Security (OPSEC) تمرکز کرده است. آن‌ها از تکنیک‌هایی نظیر Time-stomping (تغییر زمان فایل‌ها)، چرخش فایل‌ها در مسیرهای یکسان و استفاده از نام‌های قانونی برای پنهان ماندن از سیستم‌های تشخیص نفوذ استفاده می‌کنند. هدف اصلی این نوع حملات، جاسوسی و بهره‌برداری از روابط مورد اعتماد میان سازمان‌های زیرمجموعه است.
