حملة تجسس إلكتروني تستهدف قطاع الفضاء الجوي الروسي

أصبحت صناعتا الفضاء والدفاع الروسيتان هدفًا لحملة تجسس إلكتروني تُدخل برمجيةً خبيثة تُسمى EAGLET لتسهيل تسريب البيانات.

وُصفت هذه العملية، التي أُطلق عليها اسم "عملية كارغو تالون"، بأنها مجموعة تهديدات تُعرف باسم UNG0901 (اختصارًا للمجموعة المجهولة 901).

وقال سوبهاجيت سينغها، الباحث في مختبرات "Seqrite"، في تحليل نُشر هذا الأسبوع: "تهدف الحملة إلى استهداف موظفي جمعية فورونيج لإنتاج الطائرات (VASO)، إحدى كبرى شركات إنتاج الطائرات في روسيا، عبر استخدام وثائق - (TTN) - وهي وثائق بالغة الأهمية للعمليات اللوجستية الروسية".

يبدأ الهجوم برسالة بريد إلكتروني احتيالية تحمل طعومًا ذات طابع تسليم البضائع تحتوي على أرشيف ZIP، يوجد بداخله ملف اختصار Windows (LNK) يستخدم PowerShell لعرض مستند Microsoft Excel وهمي، بينما ينشر أيضًا غرسة DLL الخاصة بـ EAGLET على المضيف، بحسب تقرير نشره موقع "thehackernews" واطلعت عليه "العربية Business".

تشير الوثيقة الوهمية، وفقًا لشركة Seqrite، إلى شركة Obltransterminal، وهي شركة روسية لتشغيل محطات حاويات السكك الحديدية، والتي فرض عليها مكتب مراقبة الأصول الأجنبية (OFAC) التابع لوزارة الخزانة الأميركية عقوبات في فبراير 2024.

صُممت برمجية EAGLET لجمع معلومات النظام وإنشاء اتصال بخادم بعيد مُبرمج مسبقًا ("185.225.17[.]104") لمعالجة استجابة HTTP من الخادم واستخراج الأوامر المراد تنفيذها على جهاز ويندوز المُخترق.

تدعم هذه البرمجية الخبيثة الوصول إلى shell والقدرة على تحميل/تنزيل الملفات، على الرغم من أن طبيعة حمولات المرحلة التالية المُرسلة بهذه الطريقة غير معروفة، نظرًا لأن خادم القيادة والتحكم (C2) غير متصل بالإنترنت حاليًا.

وأعلنت شركة Seqrite أنها كشفت أيضًا عن حملات مماثلة تستهدف القطاع العسكري الروسي باستخدام EAGLET، ناهيك عن تداخلات شيفرة المصدر والاستهداف مع مجموعة تهديدات أخرى تُعرف باسم Head Mare، والتي يُعرف عنها استهدافها للكيانات الروسية.

يتضمن ذلك أوجه التشابه الوظيفية بين EAGLET وPhantomDL، وهو باب خلفي مع غلاف وميزة تنزيل/تحميل الملفات، بالإضافة إلى أوجه التشابه في مخطط التسمية المستخدم لمرفقات رسائل التصيد الاحتيالي.

يأتي هذا الكشف في الوقت الذي نُسبت فيه مجموعة القرصنة الروسية المدعومة من الدولة، UAC-0184 (المعروفة أيضًا باسم Hive0156)، إلى موجة هجمات جديدة استهدفت ضحايا في أوكرانيا باستخدام Remcos RAT في وقت قريب من هذا الشهر.

على الرغم من أن الجهة الفاعلة المُهددة لديها تاريخ في نشر Remcos RAT منذ أوائل عام 2024، فقد تم تبسيط سلاسل الهجمات المُكتشفة حديثًا التي تُوزع البرامج الضارة، باستخدام ملفات LNK أو PowerShell مُسلحة لاسترداد ملف التمويه وحمولة Hijack Loader (المعروفة أيضًا باسم IDAT Loader)، والتي تُطلق بعد ذلك Remcos RAT.