محققان امنیت سایبری شباهت‌های تاکتیکی قابل توجهی بین عاملان تهدید پشت بدافزار RomCom RAT و گروهی که بارگذار TransferLoader را توزیع می‌کند، کشف کرده‌اند. شرکت امنیتی Proofpoint این فعالیت‌ها را به ترتیب به گروه‌های UNK_GreenSec و TA829 نسبت داده که گروه دوم با نام‌های مختلفی از جمله CIGAR، Storm-0978 و Void Rabisu شناخته می‌شود. TA829 گروه هکری غیرمعمولی است که قابلیت انجام هم حملات جاسوسی و هم حملات با انگیزه مالی را دارد و با روسیه مرتبط است.
هر دو گروه از سرویس‌های REM Proxy که بر روی روترهای MikroTik سازش‌یافته مستقر شده‌اند، برای زیرساخت خود استفاده می‌کنند و از تاکتیک‌های مشابهی برای فریب قربانیان از طریق ایمیل‌های فیشینگ و صفحات جعلی Google Drive یا OneDrive بهره می‌برند. در حالی که TA829 بدافزار SlipScreen را توزیع می‌کند که منجر به نصب نسخه به‌روزشده RomCom RAT می‌شود، UNK_GreenSec از TransferLoader برای توزیع باج‌افزار Morpheus استفاده می‌کند. Proofpoint چهار احتمال برای رابطه بین این گروه‌ها مطرح کرده: استفاده از ارائه‌دهنده مشترک، ارائه خدمات زیرساختی TA829 به UNK_GreenSec، ارائه خدمات UNK_GreenSec به TA829، یا اینکه این دو گروه در واقع یکی باشند.
کلمات کلیدی : امنیت سایبری, بدافزار, RomCom RAT, TransferLoader, فیشینگ, باج‌افزار
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.