گوگل جزئیات بکدور جدید STOCKSTAY گروه تورلا را که در حملات جاسوسی علیه اوکراین استفاده شده، فاش کرد

گروه هکری روسی «تورلا» (Turla) که با حمایت دولتی فعالیت می‌کند، به یک درپشتی (backdoor) جدید و پیش‌تر ناشناخته به نام «STOCKSTAY» نسبت داده شده است که علیه سازمان‌های دولتی و نظامی اوکراین و نهادهای مرتبط با سیاست خارجی ایتالیا به‌کار گرفته شده است. گروه اطلاعات تهدید گوگل (GTIG) اعلام کرد این بدافزار که از دسامبر ۲۰۲۲ در حال توسعه بوده، یک درپشتی چندمؤلفه‌ای (multi-component backdoor) نوشته‌شده با فناوری دات‌نت (.NET) است که از طریق اتصال امن وب‌سوکت (WebSocket) با سرور فرمان و کنترل (C2) ارتباط برقرار می‌کند و شباهت‌های قابل‌توجهی با ابزار جاسوسی شناخته‌شده «کازوار» (Kazuar) دارد. این بدافزار در ابتدا به‌گونه‌ای طراحی شده بود که ظاهر یک ابزار مشاهده داده‌های بازار سهام را داشته باشد، اما بعداً برای جعل هویت نرم‌افزارهای بی‌خطری مانند نمایشگر PDF و ماشین‌حساب تغییر شکل داد.

کمپین‌های توزیع STOCKSTAY از ایمیل‌های فیشینگ (phishing) با محتوای دیپلماتیک و دانشگاهی برای هدف قرار دادن اوکراین بهره برده‌اند؛ از جمله در نمونه‌ای که در نوامبر ۲۰۲۵ شناسایی شد، این بدافزار از طریق آرشیوهای RAR و با سوءاستفاده از آسیب‌پذیری «وین‌رار» (WinRAR) با شناسه CVE-2025-8088 منتشر شده است؛ همان آسیب‌پذیری‌ای که گروه‌های هکری روسی دیگری چون «سندورم» (Sandworm) و «گامارِدون» (Gamaredon) نیز از آن بهره برده‌اند. گوگل همچنین یک مخزن عمومی در گیت‌هاب (GitHub) شناسایی کرد که حاوی پیاده‌سازی پایتون (Python) از سرور کنترلی این بدافزار بود. محققان با اطمینان پایین ارزیابی می‌کنند که استقرار همزمان STOCKSTAY و Kazuar در عملیات‌های فعال، احتمالاً نشان‌دهنده آزمایش قابلیت‌های جدید توسط این گروه تهدید است.