Graphiron มัลแวร์
ผู้คุกคามที่มีความซับซ้อนซึ่งเชื่อมโยงกับรัสเซียถูกค้นพบว่าใช้ซอฟต์แวร์คุกคามใหม่ในการโจมตีทางไซเบอร์ที่กำหนดเป้าหมายในยูเครน ภัยคุกคามจากผู้ขโมยข้อมูลถูกติดตามโดยผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ในชื่อ Graphiron กลุ่มจารกรรมที่อยู่เบื้องหลังมัลแวร์นี้มีชื่อว่า Nodaria และได้รับการตรวจสอบโดย CERT-UA (ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของประเทศยูเครน) ซึ่งติดแท็กว่า UAC-0056
เขียนด้วยภาษาโปรแกรม Go มัลแวร์ Graphiron ได้รับการออกแบบมาเพื่อรวบรวมข้อมูลจำนวนมากจากเครื่องที่ติดไวรัส ตั้งแต่ข้อมูลระบบ ข้อมูลประจำตัว ไปจนถึงภาพหน้าจอและไฟล์ต่างๆ เป็นที่น่าสังเกตว่า Graphiron ดูเหมือนจะเป็นส่วนหนึ่งของแคมเปญที่กำลังดำเนินอยู่ซึ่งมุ่งเป้าไปที่เป้าหมายของยูเครน รายละเอียดเกี่ยวกับปฏิบัติการคุกคามและมัลแวร์ Graphiron ถูกเปิดเผยในรายงานโดยผู้เชี่ยวชาญของ infosec
แคมเปญโจมตีหลายรายการที่มาจาก Nodaria
กลุ่มแฮ็กเกอร์ Nodaria เริ่มทำงานตั้งแต่เดือนเมษายน 2021 เป็นอย่างน้อย และเป็นที่รู้จักจากการใช้แบ็คดอร์แบบกำหนดเอง เช่น GraphSteel และ GrimPlant ในหลายแคมเปญหลังจากการรุกรานยูเครนของรัสเซีย การบุกรุกบางอย่างรวมถึงการใช้ Cobalt Strike Beacon เพื่อการแสวงหาประโยชน์ภายหลัง CERT-UA ตรวจพบกิจกรรมของพวกเขาครั้งแรกในเดือนมกราคม 2022 ซึ่งพวกเขาใช้มัลแวร์ SaintBot และ OutSteel ในการโจมตีแบบสเปียร์ฟิชชิ่งกับหน่วยงานของรัฐ แฮ็กเกอร์ยังเชื่อมโยงกับการโจมตีล้างข้อมูลแบบทำลายล้างที่รู้จักกันในชื่อ ' WhisperGate ' หรือ 'PAYWIPE' โดยกำหนดเป้าหมายไปที่หน่วยงานของยูเครนในช่วงเวลาเดียวกัน ชื่ออื่น ๆ ที่แฮ็กเกอร์ Nodaria ถูกติดตาม ได้แก่ DEV-0586, TA471 และ UNC2589
ความสามารถของมัลแวร์ Graphiron
Graphiron เป็นเครื่องมือคุกคามใหม่ล่าสุดที่จะเข้าร่วมคลังแสงของ Nodaria เป็นเวอร์ชันปรับปรุงของ GraphSteel มัลแวร์ก่อนหน้าของแฮ็กเกอร์ เมื่อมันแทรกซึมเข้าไปในอุปกรณ์เป้าหมายแล้ว Graphiron สามารถดำเนินการคำสั่งเชลล์และรวบรวมข้อมูลจากระบบ รวมถึงไฟล์ รายละเอียด ภาพหน้าจอ และคีย์ SSH นอกจากนี้ยังโดดเด่นในการใช้ Go เวอร์ชัน 1.18 (เปิดตัวในเดือนมีนาคม 2565)
หลักฐานบ่งชี้ว่า Graphiron ถูกนำมาใช้ในการโจมตีครั้งแรกตั้งแต่เดือนตุลาคม 2565 และยังคงใช้งานได้จนถึงกลางเดือนมกราคม 2566 เป็นอย่างน้อย เมื่อวิเคราะห์ห่วงโซ่การติดไวรัส พบว่ามีกระบวนการสองขั้นตอนซึ่งโปรแกรมดาวน์โหลดใช้เพื่อเรียกข้อมูลเพย์โหลดที่เข้ารหัสซึ่งมีมัลแวร์ Graphiron จากเซิร์ฟเวอร์ระยะไกล
