هکرهای چینی سرورهای REDCap را نقض کردند و تحقیقات پزشکی را به سرقت بردند

گروه اطلاعات تهدید گوگل (Google Threat Intelligence Group) یک کمپین جاسوسی مرتبط با چین را شناسایی کرده که سرورهای آسیب‌پذیر پلتفرم REDCap را هدف قرار داده و بدافزار سفارشی «InfiniteRed» را برای سرقت اطلاعات حساس از یک مؤسسه پزشکی در آمریکای شمالی مستقر کرده است. این حملات به عامل تهدید موسوم به UNC6508 نسبت داده می‌شود که بیش از یک سال بدون شناسایی در شبکه قربانی باقی ماند. نفوذ اولیه در سپتامبر ۲۰۲۳ رخ داد و فعالیت مخرب تا نوامبر ۲۰۲۵ ادامه یافت. بدافزار InfiniteRed که سه ماه پس از نفوذ اولیه مستقر شد، از سه بخش تشکیل شده است: ماژول پایداری و به‌روزرسانی، برداشت‌کننده اعتبارنامه (credential harvester)، و یک درپشتی (backdoor) که از طریق کوکی‌های HTTP فرمان دریافت می‌کند.

یکی از روش‌های قابل توجه این کمپین که برای عوامل تهدید مرتبط با چین تازگی دارد، سوءاستفاده از قابلیت «قوانین انطباق محتوا» (content compliance rules) در ابزارهای بهره‌وری ابری برای استخراج داده از طریق ایمیل است. مهاجمان پس از دسترسی به حساب مدیر، یک قانون با نام «Patroit» ایجاد کردند که ایمیل‌های حاوی کلیدواژه‌های مرتبط با تحقیقات پزشکی، فناوری پیشرفته، موضوعات نظامی و سیاست ژئواستراتژیک را به‌صورت خودکار به یک آدرس جیمیل ارسال می‌کرد. گوگل چندین سازمان در آمریکا و کانادا را از آلودگی به این بدافزار مطلع ساخته و به مدیران REDCap توصیه کرده سیستم‌های خود را به آخرین نسخه ارتقا دهند و از احراز هویت چندعاملی (MFA) برای حساب‌های پرمجوز استفاده کنند.