Batavia Spyware
קמפיין ריגול סייבר מתוחכם מכוון באופן פעיל נגד ארגונים רוסיים מאז יולי 2024. בלב המבצע נמצאת תוכנת ריגול שלא תועדה בעבר בשם Batavia, המופעלת באמצעות מיילים מטעים שנועדו להיראות כהצעות חוזה לגיטימיות.
תוכן העניינים
שרשרת ההדבקה: מדוא”ל ועד ריגול
ההתקפה מתחילה בהודעות דוא"ל פישינג שנוצרו בקפידה, הנשלחות מדומיין oblast-ru.com שבשליטת התוקף. הודעות אלו מפתות נמענים באמצעות בקשת חתימה מזויפת על חוזה וכוללות קישור זדוני. לחיצה על הקישור מתחילה הורדה של קובץ ארכיון המכיל סקריפט Visual Basic Encoded (קובץ .VBE).
לאחר ההפעלה, הסקריפט מבצע סיור על ידי איסוף מידע מפורט על מערכת המארח ושידורו לשרת מרוחק. פעולה זו מפעילה הורדה של מטען משני, קובץ הרצה שנכתב בדלפי.
תוכנות זדוניות של דלפי: הסחת דעת וגניבת נתונים
התוכנה הזדונית מבוססת דלפי ככל הנראה מציגה חוזה מזויף כדי לשמור על מעורבות הקורבן. בינתיים, היא אוספת באופן דיסקרטי מגוון מידע רגיש, כולל:
- יומני מערכת ומידע על תוכנות מותקנות
- Microsoft Office וסוגי מסמכים אחרים (*.doc, *.docx, *.ods, *.odt, *.pdf, *.xls, *.xlsx)
- צילומי מסך ונתונים מכל התקנים נשלפים המחוברים למארח
הפונקציונליות של הנוזקה לא מסתיימת שם. היא גם מורידה קובץ בינארי נוסף משרת ה-Command-and-Control שלה. קובץ זה נועד לאסוף מגוון רחב עוד יותר של סוגי קבצים לצורך חילוץ.
יכולות איסוף קבצים מורחבות
הקובץ הבינארי בשלב השני מרחיב משמעותית את היקף הנתונים הגנובים כך שיכלול:
- תמונות וקבצי גרפיקה: *.jpeg, *.jpg, *.cdr
- אימיילים ותוכן מבוסס טקסט: *.eml, *.csv, *.txt, *.rtf
- מצגות וארכיונים: *.ppt, *.pptx, *.odp, *.rar, *.zip
כל המידע שנאסף מועבר לדומיין אחר, ru-exchange.com, המשמש גם כנקודת מסירה עבור קובץ הרצה בשלב הרביעי. רכיב לא ידוע זה כנראה ממשיך את שרשרת ההתקפה עם פעולות זדוניות נוספות.
השפעה נרחבת ונתונים שנאספו
במהלך השנה האחרונה, יותר מ-100 משתמשים בכמה עשרות ארגונים היו מטרה להודעות פישינג אלו. המטען הסופי מבטיח איסוף נתונים יסודי, תוך חשיפת מסמכים אישיים וארגוניים, אלא גם:
- רשימה מלאה של תוכנות מותקנות
- מידע על מנהלי התקנים
- פרטי רכיבי מערכת ההפעלה
סיכום: איום ריגול מתואם ומתפתח
קמפיין הריגול של Batavia משקף איום מתואם ומתמשך על אבטחת הארגון ברוסיה. שרשרת ההדבקה רב-שלבית, בשילוב עם יכולתה לחלץ מגוון רחב של קבצים ומודיעין מערכתי, מסמנת אותה ככלי ריגול אדיר. ארגונים חייבים להישאר ערניים ולאמץ אמצעי אבטחה פרואקטיביים כדי להתגונן מפני התקפות מתקדמות ומטעות כאלה.
