قراصنة إيرانيون يستهدفون شركات الاتصالات ومزودي خدمة الإنترنت باستخدام برامج ضارة مطورة

تقرير جديد يسلط الضوء على مجموعة ليسيوم للتجسس الإلكتروني

قراصنة إيرانيون يستهدفون شركات الاتصالات ومزودي خدمة الإنترنت باستخدام برامج ضارة مطورة

قام قراصنة مدعومون من إيران باختراق مزودي خدمات الإنترنت وشركات الاتصالات منذ يوليو من هذا العام ، وفقًا لتقرير جديد لشركة Accenture .

تُعرف المجموعة باسم Lyceum ، ولكنها أيضًا تابعة لشركة Hexane أو Spirlin ، وتعمل منذ عام 2017 وتم ربطها بحملات خبيثة تستهدف شركات النفط والغاز في الشرق الأوسط. 

تواصل مجموعة القرصنة الإيرانية استهداف المواطنين الأمريكيين والاخرين.

بين يوليو وأكتوبر من هذا العام ، نفذت الليسيوم هجمات على مزودي الإنترنت ومنظمات الاتصالات في إسرائيل والمغرب وتونس والمملكة العربية السعودية ، وفقًا لباحثين من مجموعة Accenture's Cyber ​​Threat Intelligence (ACTI) وفريق Adversarial Counterintelligence (PACT). بالإضافة إلى ذلك ، فإن APT مسؤولة عن حملة خبيثة ضد وزارة خارجية لدولة أفريقية لم تذكر اسمها.

قال باحثون أمنيون : "تعد شركات الاتصالات ومقدمو خدمات الإنترنت أهدافًا عالية المستوى للجهات الفاعلة في مجال التجسس السيبراني لأنها بمجرد تعرضها للخطر ، فإنها توفر الوصول إلى العديد من المنظمات والمشتركين بالإضافة إلى الأنظمة الداخلية التي يمكن استخدامها للاستفادة من السلوك الضار بشكل أكبر" .

يبدو أن مدرسة Lyceum تستخدم عائلتين من البرامج الضارة ، Shark و Milan ، وفقًا لآخر عملية تم تحليلها في  تقرير مشترك من  قبل الباحثين في Accenture و Prevailion. 

Shark backdoor هو ملف تنفيذي 32 بت مكتوب بلغة C # و .NET ، وينفذ الأوامر ويصدر البيانات من الأنظمة المصابة. ميلان عبارة عن حصان طروادة 32 بت للوصول عن بعد   (RAT) يمكنه استرداد البيانات من النظام المخترق وإرسالها إلى الخوادم المشتقة من خوارزميات بناء المجال (DGAs).

كل من الأبواب الخلفية تتواصل عبر DNS و HTTPS مع خوادم القيادة والتحكم (C2). يستخدم Shark أيضًا نفق DNS.

قال الباحثون إنهم حددوا أيضًا منارة من باب خلفي أعيد تكوينه أو جديد ليسيومًا في أواخر أكتوبر 2021.

وقالوا

"شوهدت المنارات المرصودة وهي تخرج من شركة اتصالات في تونس بالإضافة إلى وزارة الخارجية في إفريقيا".

أضاف الباحثون أن بناء جملة URL للباب الخلفي المعاد تكوينه حديثًا يشبه تلك التي تم إنشاؤها في الإصدار الأحدث من ميلان.

 ومع ذلك ، نظرًا لأن بناء جملة URL قابل للتكوين ، فمن المحتمل أن أعاد مشغلو Lyceum تكوين بنية عنوان URL الخاصة بميلانو للتحايل على أنظمة الكشف عن التطفل (IDS) وأنظمة منع التطفل (IPS) المشفرة لاكتشاف بنية منارة ميلان السابقة.

قال الباحثون إن مدرسة ليسيوم تقوم بتحديث أبوابها الخلفية في ضوء الأبحاث العامة الأخيرة في أنشطتها للبقاء في صدارة الأنظمة الدفاعية.

واصلت المجموعة استهدافها للشركات ذات الأهمية الاستراتيجية الوطنية. 

وأضافوا أن ليسيوم ستستمر على الأرجح في استخدام الأبواب الخلفية لقرية شارك وميلانو ، وإن كان ذلك مع بعض التعديلات ، حيث من المحتمل أن تكون المجموعة قادرة على الحفاظ على موطئ قدم في شبكات الضحايا على الرغم من الكشف العلني عن شركات النفط الدولية المرتبطة بعملياتها.