گروه هکری وابسته به حماس ، بدافزار پاک‌کننده SameCoin در حملات تخریبی علیه اسرائیل

گروه هکری WIRTE وابسته به حماس، با استفاده از بدافزار پاک‌کننده SameCoin و سایر ابزارهای مخرب، حملات تخریبی و جاسوسی را علیه اسرائیل و سایر کشورهای خاورمیانه انجام می‌دهد. این گروه از تنش‌های ژئوپلیتیکی و جنگ برای پیشبرد اهداف خود بهره می‌برد.

به گزارش زوم تک از The Hacker News، یک گروه هکری وابسته به حماس، عملیات سایبری مخرب خود را فراتر از جاسوسی گسترش داده و حملات تخریبی را به طور انحصاری علیه نهادهای اسرائیلی انجام می‌دهد.

این فعالیت‌ها که به گروهی به نام WIRTE مرتبط است، تشکیلات خودگردان فلسطین، اردن، عراق، عربستان سعودی و مصر را نیز هدف قرار داده است.

چک پوینت در تحلیلی اعلام کرد: “درگیری [اسرائیل-حماس] فعالیت WIRTE را مختل نکرده و آنها به استفاده از رویدادهای اخیر منطقه در عملیات جاسوسی خود ادامه می‌دهند. علاوه بر جاسوسی، این گروه هکری اخیراً در حداقل دو موج از حملات تخریبی علیه اسرائیل شرکت داشته است.”

WIRTE نامی است که به یک گروه تهدید مداوم پیشرفته (APT) خاورمیانه‌ای اختصاص داده شده است که حداقل از آگوست ۲۰۱۸ فعال بوده و طیف گسترده‌ای از نهادها را در سراسر منطقه هدف قرار داده است. این گروه برای اولین بار توسط شرکت امنیت سایبری اسپانیایی S2 Grupo شناسایی شد.

ارزیابی شده است که این گروه هکری بخشی از یک گروه با انگیزه سیاسی به نام Gaza Cyber Gang (معروف به Molerats و TA402) است که به دلیل استفاده از ابزارهایی مانند BarbWire، IronWind و Pierogi در حملات خود شناخته شده است.

این شرکت اسرائیلی گفت: “فعالیت این گروه در طول جنگ غزه ادامه داشته است. از یک سو، فعالیت مداوم این گروه وابستگی آن را به حماس تقویت می‌کند. از سوی دیگر، انتساب جغرافیایی این فعالیت را به طور خاص به غزه پیچیده می‌کند.”

فعالیت‌های WIRTE در سال ۲۰۲۴ از تنش‌های ژئوپلیتیکی در خاورمیانه و جنگ برای ایجاد فایل‌های RAR فریبنده که منجر به استقرار چارچوب پس از بهره‌برداری Havoc می‌شود، بهره برداری کرده است. زنجیره‌های جایگزین مشاهده شده قبل از سپتامبر ۲۰۲۴ از فایل‌های RAR مشابه برای انتشار دانلودکننده IronWind استفاده کرده‌اند.

هر دو این توالی‌های آلودگی ها از یک فایل اجرایی قانونی برای sideload کردن DLL آلوده به بدافزار و نمایش سند PDF جعلی به قربانی استفاده می‌کنند.

چک پوینت گفت که همچنین یک کمپین فیشینگ را در اکتبر ۲۰۲۴ مشاهده کرده است که چندین سازمان اسرائیلی، مانند بیمارستان‌ها و شهرداری‌ها را هدف قرار داده است. در این کمپین، ایمیل‌ها از یک آدرس قانونی متعلق به شرکت امنیت سایبری ESET در اسرائیل ارسال شده است.

این شرکت گفت: “این ایمیل حاوی یک نسخه جدید از بدافزار پاک‌کننده SameCoin بود که در اوایل امسال در حملات علیه اسرائیل مستقر شد. علاوه بر تغییرات جزئی در بدافزار، نسخه جدیدتر یک تابع رمزگذاری منحصر به فرد را معرفی می‌کند که تنها در یک نوع جدیدتر از لودر IronWind یافت شده است.”

علاوه بر بازنویسی فایل‌ها با بایت‌های تصادفی، آخرین نسخه از بدافزار پاک‌کننده SameCoin پس زمینه سیستم قربانی را برای نمایش تصویری با نام گردان‌های القسام، شاخه نظامی حماس، تغییر می‌دهد.

SameCoin یک بدافزار پاک‌کننده سفارشی است که در فوریه ۲۰۲۴ به عنوان ابزاری که توسط یک گروه هکری وابسته به حماس برای خرابکاری در دستگاه‌های ویندوز و اندروید استفاده می‌شود، کشف شد. این بدافزار در پوشش یک به‌روزرسانی امنیتی توزیع شد.

به گفته HarfangLab، نمونه‌های لودر ویندوز (“INCD-SecurityUpdate-FEB24.exe”) دارای مهرهای زمانی تغییر یافته برای تطبیق با ۷ اکتبر ۲۰۲۳، روزی که حماس حمله غافلگیرکننده خود را به اسرائیل آغاز کرد، بودند. اعتقاد بر این است که بردار دسترسی اولیه یک ایمیل است که خود را به جای اداره ملی سایبری اسرائیل (INCD) جا می‌زند.

چک پوینت در پایان گفت: “با وجود درگیری مداوم در خاورمیانه، این گروه با کمپین‌های متعدد به فعالیت خود ادامه داده و یک مجموعه ابزار همه کاره را به نمایش گذاشته است که شامل بدافزارهای پاک‌کننده، backdoor ها و صفحات فیشینگ است که برای جاسوسی و خرابکاری استفاده می‌شود.”