נחשפו מתקפות של הביון הרוסי עם תולעת הנחבאת ב-USB

שחקני ריגול רוסים המזוהים עם ה-FSB – שירות הביטחון הפדרלי של רוסיה – נצפו מחדירים תולעים באמצעות התקני USB, כך חשפה צ'ק פוינט (Check Point) בסוף השבוע. המתקפות כוונו כנגד ארגונים באוקראינה.

התולעת זכתה לכינוי LitterDrifter, או בעברית – זבל נייד. היא קיבלה את שמה בשל העובדה שרכיב התזמור הראשוני שלה נקרא 'trash.dll'. קבוצת התקיפה של הביון הרוסי מכונה גאמארדון (Gamaredon), ככל הנראה משחק מילים על המונח 'ארמגדון', שהוא קרב יום הדין לפי הנצרות. עוד היא מכונה אקווה בליזארד (Aqua Blizzard), איירון טילדן (Iron Tilden), דוב פרימיטיבי, Shuckworm ו-Winterflounder.

לפי חוקרי ענקית הגנת הסייבר הישראלית, "הקבוצה מעורבת בקמפיינים רחבי היקף, שמטרתם איסוף נתונים למטרות ספציפיות. הקורבנות והמידע נבחרים בהתאם למטרות ריגול".

Analyzing #LitterDrifter, Gamaredon's most recent USB worm:

🪱 LitterDrifter is VBS worm that propagates over USBs

🇺🇦 Ukraine remains the primary target for Gamaredon

💻Relies on Gamaredon's vast and flexible C2 infrastructure

Read more–>https://t.co/9p4FeKcwxZ

— Check Point Research (@_CPResearch_) November 17, 2023

מה ידוע על תולעת LitterDrifter?

תולעת LitterDrifter כוללת שתי תכונות עיקריות: הפצה אוטומטית של הנוזקה דרך כונני USB מחוברים וכן תקשורת עם שרתי פיקוד ושליטה (C&C) של שחקן האיום. תקשורת זו עם שרתי C&C, כך ציינו בצ'ק פוינט, "היא ייחודית".

אנליסטים ציינו כי ייתכן שמדובר בתולעת שעברה שדרוג טכנולוגי ושנחשפה על ידי סימנטק ביוני 2023.

LitterDrifter מסוגלת גם להתחבר לשרת C&C שבערוץ טלגרם, טקטיקה שהיא השתמשה בה שוב ושוב מאז תחילת השנה לפחות.

חוקרי צ'ק פוינט הוסיפו כי מחוץ לאוקראינה ארגונים הותקפו על ידי הנוזקה החדשה בארה"ב, וייטנאם, צ'ילה, פולין, גרמניה והונג קונג.

אנליסטים ציינו כי חברי גאמארדון היו פעילים השנה, תוך התפתחות מתמדת של שיטות ההתקפה שלהם. ביולי האחרון נחשפה מתקפה שלהם שנועדה לקצירת וחילוץ נתונים מהירים.

"ברור ש-LitterDrifter תוכננה כדי לתמוך במבצע איסוף (ריגול) רחב היקף", סיכמו חוקרי צ'ק פוינט, "הנוזקה ממנפת טכניקות פריצה פשוטות אך יעילות, כדי להבטיח שהיא תוכל להגיע לטווח המטרות הרחב ביותר האפשרי".

בסמיכות זמנים, ובלא קשר לחשיפה הזו, המרכז הלאומי לתיאום אבטחת סייבר של אוקראינה (NCSCC) חשף התקפות שתוזמנו על ידי האקרים בחסות רוסיה, שכוונו לעבר שגרירויות ברחבי אירופה, בין השאר של איטליה, יוון, רומניה ואזרבייג'ן.