टर्बिड वाटर: कैसे मडायटर से हैकर्स ने सैन्य इलेक्ट्रॉनिक्स के एक तुर्की निर्माता पर हमला किया

ईरानी सरकार समर्थक हैकरों की बड़ी समस्याएँ हैं। पूरे वसंत के दौरान, अज्ञात लोगों ने टेलीग्राम पर "गुप्त प्लम" प्रकाशित किया - ईरानी सरकार से जुड़े एपीटी समूहों के बारे में जानकारी - ऑयलरिग और मड्डीवाटर - उनके उपकरण, पीड़ित, कनेक्शन। लेकिन सभी के बारे में नहीं। अप्रैल में, ग्रुप-आईबी के विशेषज्ञों ने तुर्की निगम ASELSAN A.Ş के डाक पते में एक रिसाव की खोज की, जो तुर्की सशस्त्र बलों के लिए सामरिक सैन्य रेडियो स्टेशन और इलेक्ट्रॉनिक रक्षा प्रणाली का उत्पादन करता है। ग्रुप-आईबी कॉम्प्लेक्स खतरे के अनुसंधान समूह के प्रमुख अनास्तासिया तिखोनोवा और ग्रुप-आईबी के एक जूनियर विश्लेषक निकिता रोस्तोवत्सेव ने एसेलसन एŞ पर हमले के पाठ्यक्रम का वर्णन किया और एक संभावित मुडेराइटर सदस्य पाया।

टेलीग्राम एक्सपोज़र

ईरानी एपीटी समूहों के "ड्रेन" की शुरुआत इस तथ्य से हुई कि किसी लैब ड्यूकटेगन ने छह एपीटी 34 टूल्स (उर्फ ऑयलरिग और हेलिक्सकनेक्ट) के स्रोत कोड का अनावरण किया , ऑपरेशन में शामिल आईपी पते और डोमेन, साथ ही साथ 66 हैकर पीड़ितों के डेटा का भी खुलासा किया। एतिहाद एयरवेज और अमीरात नेशनल ऑयल थे। Lab Dookhtegan ने ईरानी सूचना और राष्ट्रीय सुरक्षा मंत्रालय के कर्मचारियों के समूह के पिछले संचालन और जानकारी के "डेटा" को भी "लीक" किया, जो कथित तौर पर समूह के संचालन से जुड़े हैं। OilRig एक ईरान से संबंधित APT समूह है जो 2014 के बाद से आसपास रहा है और इसका उद्देश्य सरकार, वित्तीय और सैन्य संगठनों, साथ ही मध्य पूर्व और चीन में ऊर्जा और दूरसंचार कंपनियां हैं।

ऑयलरिग के संपर्क के बाद, "प्लम" जारी रहा - डार्कनेट और टेलीग्राम पर, ईरान से एक अन्य सरकार समर्थक समूह की गतिविधियों पर जानकारी दिखाई दी - मडायवाटर। हालांकि, पहले लीक के विपरीत, इस बार स्रोत कोड प्रकाशित नहीं किए गए थे, लेकिन स्रोत कोड, नियंत्रण सर्वर, साथ ही पिछले हैकर पीड़ितों के आईपी पते सहित स्क्रीनशॉट शामिल हैं। इस बार, ग्रीन लीकर्स हैकर्स ने MuddyWater रिसाव के लिए जिम्मेदारी का दावा किया। उनके पास कई टेलीग्राम चैनल और डार्कनेट साइट हैं, जहां वे मडायवटर ऑपरेशन से संबंधित डेटा का विज्ञापन करते हैं और बेचते हैं।

मध्य पूर्व के साथ साइबरस्पेस

MuddyWater एक समूह है जो मध्य पूर्व के देशों में 2017 से काम कर रहा है। उदाहरण के लिए, जैसा कि फरवरी और अप्रैल 2019 के बीच ग्रुप-आईबी विशेषज्ञों ने नोट किया था, हैकर्स ने तुर्की, ईरान, अफगानिस्तान, इराक और अजरबैजान में सरकार, शैक्षिक संगठनों, वित्तीय, दूरसंचार और रक्षा कंपनियों के उद्देश्य से फ़िशिंग मेलिंग की एक श्रृंखला का संचालन किया।

समूह के सदस्य PowerShell के आधार पर एक मालिकाना पिछले दरवाजे का उपयोग करते हैं, जिसे POWERSTATS कहा जाता है। वह कर सकता है:

• स्थानीय और डोमेन खातों, सुलभ फ़ाइल सर्वर, आंतरिक और बाहरी आईपी पते, ओएस नाम और वास्तुकला के बारे में डेटा एकत्र करें;
• रिमोट कोड निष्पादन;
• C & C के माध्यम से फ़ाइलें डाउनलोड और अपलोड करें;
• दुर्भावनापूर्ण फ़ाइलों के विश्लेषण में उपयोग किए जाने वाले डिबगिंग कार्यक्रमों की उपस्थिति का पता लगाएं;
• मैलवेयर विश्लेषण कार्यक्रम पाए जाने पर सिस्टम को अक्षम करें;
• स्थानीय ड्राइव से फ़ाइलें हटाएं;
• स्क्रीनशॉट लें;
• Microsoft Office उत्पादों के लिए सुरक्षात्मक उपाय अक्षम करें।

कुछ बिंदु पर, हमलावरों ने एक गलती की और ReaQta के शोधकर्ताओं ने अंतिम आईपी पता प्राप्त करने में कामयाबी हासिल की, जो तेहरान में स्थित था। समूह द्वारा हमला किए गए लक्ष्यों, साथ ही साइबर जासूसी से संबंधित कार्यों को ध्यान में रखते हुए, विशेषज्ञों ने सुझाव दिया कि समूह ईरानी सरकार के हितों का प्रतिनिधित्व करता है।

बंदूक की नोक पर तुर्की

10 अप्रैल, 2019 को, समूह-आईबी विशेषज्ञों ने तुर्की की सबसे बड़ी सैन्य इलेक्ट्रॉनिक्स कंपनी तुर्की की कंपनी ASELSAN A. military के डाक पते में एक रिसाव की खोज की। इसके उत्पादों में रडार और इलेक्ट्रॉनिक उपकरण, इलेक्ट्रो-ऑप्टिक्स, एवियोनिक्स, मानवरहित प्रणाली, जमीन, नौसेना और हथियार प्रणाली, साथ ही साथ वायु रक्षा प्रणाली शामिल हैं।

पावरस्टैट मैलवेयर के नए नमूनों में से एक के समूह-आईबी विशेषज्ञों ने जांच में पाया कि हमलावरों के समूह मड्डी वेटर ने कोक सवुम्मा, एक कंपनी विनिर्माण सूचना और रक्षा प्रौद्योगिकी समाधान, और ट्यूबिटक बिलिमेम, एक सूचना सुरक्षा और अनुसंधान केंद्र, के बीच एक लाइसेंस दस्तावेज का इस्तेमाल किया। उन्नत तकनीक। कोह सवुम्मा का संपर्क बिंदु ताहिर तनेर टाइमिस था, जो कोक बिल्गी वी सवुम्ना टेक्नोलोजिलरी ए। में कार्यक्रम प्रबंधक के रूप में सेवा करता था। सितंबर 2013 से दिसंबर 2018 तक। बाद में उन्होंने ASELSAN A.Ş में काम करना शुरू कर दिया।


उपयोगकर्ता दुर्भावनापूर्ण मैक्रोज़ को सक्रिय करने के बाद, पीड़ित के कंप्यूटर पर POWERSTATS बैकडोर डाउनलोड किया जाता है।

इस चारा दस्तावेज के मेटाडेटा के लिए धन्यवाद (MD5: 0638adf8fb4095d60fbef190a759aa9e ), शोधकर्ता समान मूल्यों वाले तीन अतिरिक्त नमूनों को खोजने में सक्षम थे, जिसमें निर्माण की तिथि और समय, उपयोगकर्ता नाम और मैक्रोज़ की एक सूची शामिल है:

• ListOfHackedEmails.doc ( eed599981c097944fa143e7d7f7e17b1 )
• asd.doc ( 21aebece73549b3c4355a6060df410e9 )
• F35- निर्दिष्टीकरण। Doc ( 5c6148619abb10bb3789dcfb32f759a6 )

ListOfHackedEmails.doc नाम के दस्तावेजों में से एक में @ aselsan.com.tr डोमेन से संबंधित 34 ईमेल पतों की सूची है।

समूह-आईबी विशेषज्ञों ने लीक के लिए मेलिंग पते की जाँच की जो सार्वजनिक डोमेन में हैं और पाया कि उनमें से 28 को पहले खोजे गए लीक में समझौता किया गया था। उपलब्ध लीक के मिश्रण की जाँच करने से इस डोमेन से जुड़े 400 अद्वितीय लॉगिन और उनके लिए पासवर्ड का पता चला। हमलावरों ने इस डेटा का उपयोग खुली पहुंच से हमला करने के लिए ASELSAN A. used.




पाए गए नमूनों में एफ -35-फाइटर नाम का एक दस्तावेज भी था, जिसमें एफ -35 फाइटर का जिक्र था। चारा दस्तावेज एफ -35 बहु-कार्यात्मक लड़ाकू-बमवर्षकों का एक विनिर्देश है, जो विमान की विशेषताओं और कीमत का संकेत देता है। तुर्की के एस -400 सिस्टम की खरीद के बाद एफ -35 की आपूर्ति करने से रूस के इनकार और एफ -35 लाइटनिंग द्वितीय के बारे में जानकारी प्रेषित करने के रूस के खतरे से संबंधित है।

प्राप्त किए गए सभी आंकड़ों से संकेत मिलता है कि मड्डीवाटर साइबर हमलों का मुख्य लक्ष्य तुर्की में स्थित संगठन थे।

Gladiyator_CRK और Nima Nikjoo कौन हैं?

इससे पहले, मार्च 2019 में, एक विंडोज़ उपयोगकर्ता द्वारा Gladiyator_CRK उपनाम के तहत दुर्भावनापूर्ण दस्तावेज़ बनाए गए थे। इन दस्तावेजों ने POWERSTATS पिछले दरवाजे को भी वितरित किया और सी एंड सी सर्वर से इसी नाम के रूप में जोड़ा गया ।

शायद यह नीमा निज्जू द्वारा 14 मार्च, 2019 को ट्विटर पर एक पोस्ट किए जाने के बाद किया गया था, जिसमें वह मडायवाटर से जुड़े मोटे कोड को डिकोड करने की कोशिश करते हैं। इस ट्वीट पर टिप्पणियों में, शोधकर्ता ने कहा कि वह इस दुर्भावनापूर्ण कार्यक्रम के समझौते के संकेतक साझा नहीं कर सका, क्योंकि यह जानकारी गोपनीय है। दुर्भाग्य से, रिकॉर्ड पहले ही हटा दिया गया है, लेकिन इसके निशान नेटवर्क पर बने हुए हैं:



Nima Nikjoo ईरानी वीडियो होस्टिंग साइट्स dideo.ir और videoi.ir पर Gladiyator_CRK प्रोफाइल की मालिक हैं। इस साइट पर, वह विभिन्न विक्रेताओं के एंटी-वायरस टूल को अक्षम करने और सैंडबॉक्स को दरकिनार करने के लिए PoC कारनामों का प्रदर्शन करता है। नीमा निज्जू खुद को लिखती हैं कि वह नेटवर्क सुरक्षा में विशेषज्ञ हैं, साथ ही एक रिवर्स इंजीनियर और मैलवेयर विश्लेषक हैं जो ईरानी दूरसंचार कंपनी एमटीएन ईरसेल के लिए काम करते हैं।

Google खोज परिणामों में सहेजे गए वीडियो का स्क्रीनशॉट:



बाद में, 19 मार्च, 2019 को, सोशल नेटवर्क ट्विटर पर उपयोगकर्ता नीमा निज्जू ने मालवेयर फाइटर के लिए अपना उपनाम बदल दिया, और संबंधित पोस्ट और टिप्पणियों को भी हटा दिया। YouTube होस्ट करने वाले वीडियो पर Gladiyator_CRK प्रोफ़ाइल भी हटा दी गई थी, जैसा कि YouTube पर किया गया था, और प्रोफ़ाइल का नाम बदलकर N Tabrizi कर दिया गया था। हालांकि, लगभग एक महीने (16 अप्रैल, 2019) के बाद, ट्विटर अकाउंट ने फिर से निमा निज्जू नाम का उपयोग करना शुरू कर दिया।

अध्ययन के क्रम में, समूह-आईबी विशेषज्ञों ने पाया कि साइबर अपराध के संबंध में नीमा निज्जू का उल्लेख पहले ही किया जा चुका था। अगस्त 2014 में, ईरान ख़बरिस्तान के ब्लॉग ने ईरानी नस्र संस्थान साइबर क्रिमिनल ग्रुप से जुड़े व्यक्तियों के बारे में जानकारी प्रकाशित की। एक फायरएय अध्ययन ने कहा कि नस्र इंस्टीट्यूट APT33 के लिए एक ठेकेदार था और उसने 2011 और 2013 के बीच ऑपरेशन अबाबेल नामक अभियान के हिस्से के रूप में अमेरिकी बैंकों पर DDoS हमलों में भी भाग लिया था।

तो, उसी ब्लॉग में नीमा निकुजू-निज्जू का उल्लेख किया गया है, जो ईरानियों की जासूसी करने के लिए मैलवेयर के विकास में शामिल थे, और उनका ईमेल पता: gladiyator_cracker @ yahoo [।] Com।

ईरानी नस्र संस्थान से साइबर अपराधियों से संबंधित डेटा का स्क्रीनशॉट:


हाइलाइट किए गए रूसी में अनुवाद: निमा निकियो - स्पाइवेयर डेवलपर - ईमेल पता:।

जैसा कि आप इस जानकारी से देख सकते हैं, ईमेल पता हमलों में उपयोग किए गए पते, और ग्लेडिएटर_CRK और Nima Nikjoo के उपयोगकर्ताओं के साथ जुड़ा हुआ है।

इसके अलावा, 15 जून, 2017 के एक लेख में कहा गया है कि निकू ने अपने फिर से शुरू में कवाश सिक्योरिटी सेंटर के लिंक पोस्ट करके कुछ लापरवाह निकला। यह माना जाता है कि कवास सुरक्षा केंद्र को सरकार समर्थक हैकरों को वित्त देने के लिए ईरानी राज्य द्वारा समर्थित है।

निम्मा निकू कंपनी के बारे में जानकारी के लिए काम किया:


लिंक्डइन पर एक उपयोगकर्ता के प्रोफ़ाइल पर, एक ट्विटर उपयोगकर्ता, नीमा निजू, ने कवास सुरक्षा केंद्र को अपनी पहली नौकरी के रूप में पहचाना, जहां उन्होंने 2006 से 2014 तक काम किया। अपने काम के दौरान, उन्होंने विभिन्न दुर्भावनापूर्ण कार्यक्रमों का अध्ययन किया, साथ ही रिवर्स और ओफ़्फ़्यूशन से संबंधित काम भी निपटाया।

कंपनी के बारे में जानकारी निमा निज्जू ने लिंक्डइन पर काम किया:

मैलावेटर और उच्च आत्म-सम्मान

यह उत्सुक है कि मडायवाटर समूह उनके बारे में प्रकाशित सूचना सुरक्षा विशेषज्ञों की सभी रिपोर्टों और रिपोर्टों की सावधानीपूर्वक निगरानी करता है, और यहां तक ​​कि विशेष रूप से झूठे झंडे को छोड़ दिया है ताकि शोधकर्ताओं को निशान से बाहर निकल सकें। उदाहरण के लिए, उनके पहले हमलों ने विशेषज्ञों को गुमराह किया क्योंकि उन्होंने DNS मैसेंजर के उपयोग की खोज की थी, जो आमतौर पर FIN7 समूह के साथ जुड़ा हुआ था। अन्य हमलों में, उन्होंने कोड में चीनी में तार डाले।

इसके अलावा, समूह शोधकर्ताओं को संदेश छोड़ने का बहुत शौक है। उदाहरण के लिए, वे इस तथ्य को पसंद नहीं करते थे कि कैसपर्सकी लैब ने वर्ष के लिए खतरों की अपनी रैंकिंग में मुदितवर को तीसरे स्थान पर रखा। उसी क्षण, किसी ने - संभवतः मडायवाटर समूह ने YouTube पर एक शोषण अपलोड किया जिसने YouTube से LK एंटीवायरस को बंद कर दिया। उन्होंने लेख के तहत एक टिप्पणी छोड़ दी।

Kaspersky Lab एंटीवायरस को अक्षम करने और उसके नीचे की टिप्पणी पर वीडियो का स्क्रीनशॉट:



नीमा निज्जू के शामिल होने के बारे में एक स्पष्ट निष्कर्ष निकालना अभी भी मुश्किल है। समूह-आईबी विशेषज्ञ दो संस्करणों पर विचार कर रहे हैं। निमा निज्जू, वास्तव में, मडायवाटर समूह का एक हैकर हो सकता है, जिसने अपनी लापरवाही और नेटवर्क पर बढ़ती गतिविधि के कारण दिखाया। दूसरा विकल्प - संदेह को टालने के लिए समूह के अन्य सदस्यों द्वारा इसे विशेष रूप से "स्पॉटलाइट" किया गया था। किसी भी मामले में, ग्रुप-आईबी अपना शोध जारी रखता है और निश्चित रूप से अपने परिणामों पर रिपोर्ट करेगा।

ईरानी APTs के लिए, लीक और नालियों की एक श्रृंखला के बाद, उन्हें एक गंभीर "डीब्रीफिंग" का सामना करने की संभावना है - हैकर्स को अपने टूल को गंभीरता से बदलने, पटरियों को साफ करने और अपने रैंकों में संभावित मोल खोजने के लिए मजबूर किया जाएगा। विशेषज्ञों ने इस बात से इंकार नहीं किया कि वे एक टाइमआउट भी लेंगे, लेकिन थोड़े समय के अंतराल के बाद, ईरानी एपीटी के हमले फिर से जारी रहे।

ग्रुप-आईबी साइबर क्राइम के बारे में सब कुछ जानता है, लेकिन सबसे दिलचस्प बातें बताता है।

सूचना सुरक्षा, हैकर्स और साइबर हमलों, हैकविवि और इंटरनेट समुद्री डाकू पर एक्शन से भरपूर टेलीग्राम चैनल (https://t.me/Group_IB)। कदम से सनसनीखेज साइबर अपराध की जांच, समूह-आईबी प्रौद्योगिकियों का उपयोग करके व्यावहारिक मामले और निश्चित रूप से, इंटरनेट पर शिकार बनने से बचने के तरीके के बारे में सिफारिशें।

इंस्टाग्राम www.instagram.com/group_ib पर ग्रुप-आईबी फोटोग्राफ
Twitter लघु समाचार twitter.com/GroupIB

ग्रुप-आईबी साइबर हमलों का पता लगाने और रोकने, धोखाधड़ी का पता लगाने और सिंगापुर में मुख्यालय वाले नेटवर्क में बौद्धिक संपदा की रक्षा करने के लिए समाधान के अग्रणी डेवलपर्स में से एक है।