شناسایی گروه هکری Nazar APT

کارشناسان آزمایشگاه کسپرسکی گروه هکری به نام Nazar APT شناسایی کردند.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، اعضای گروه هکری شدوبروکرز (Shadow Brokers) در سال ۲۰۱۶ اعلام کردند گروه هکری اکویژن گروپ (Equation Group) را هدف حملات سایبری قرار داده و تسلیحات سایبری آژانس امنیت ملی را به مزایده گذاشته‌اند.

بسیاری از کارشناسان اکویژن‌گروپ را به دولت آمریکا نسبت می‌دهند و کارشناسان آزمایشگاه کسپرسکی در سال ۲۰۱۵ اعلام کردند این گروه از سال ۱۹۹۶ به مدت ۱۰ سال در حال فعالیت بوده و هزاران کاربر را در بیش از ۳۰ کشور دنیا هدف قرار داده است.

اکویژن گروپ طی چندین سال فعالیت خود با گروه‌های دیگری نیز که کمپین‌هایی با بدافزارهای استاکس‌نت و فلیم سازمان‌دهی کرده‌بودند در ارتباط بوده‌است.

اعضای گروه شدوبروکرز مدت‌ها در تلاش بودند یک بدافزار دولتی را بفروشند و اما خریداری پیدا نکردند. درنتیجه در سال ۲۰۱۷ تصمیم گرفتند پایگاه داده‌ای به نام «Lost in Translation» را رایگان منتشر کرده و در دسترس عموم قرار دهند.

در میان ابزارهای منتشرشده شدوبروکرز در پشتی «DoublePulsar» و اکسپلویت «EternalBlue» نیز بودند که از طریق آنها بدافزارهای «WannaCry» و «NotPetya» در سراسر جهان توزیع‌شده‌اند.

پایگاه داده شدوبروکرز علاوه بر موارد مذکور، فایلی به نام «Sigs.py» نیز داشته که شامل اطلاعاتی در خصوص عملیات جاسوسی گروه‌های سایبری و شناسایی آن‌ها بوده است.

این فایل یک اسکنر ساده بدافزار بوده که اپراتورهای آژانس امنیت ملی آن را در رایانه‌های هک شده به کار می‌بردند تا ردپای گروه‌های هکری رقیب را شناسایی کنند.

فایل «Sigs.py» دارای ۴۴ بسته اطلاعاتی برای شناسایی فایل‌ها و ابزارهای هکری سایر گروه‌های هکری بوده که از ۱ تا ۴۵ شماره‌گذاری شده بودند.

بسیاری از کارشناسان به این نتیجه رسیدند که در این فایل گروه‌های بیشتری نسبت به آنچه کارشناسان آی‌تی و شرکت‌های بزرگ امنیتی با آن‌ها آشنا هستند، برشمرده شده است، حتی باگذشت سه سال از انتشار این پایگاه داده، ۱۵ مورد از بسته‌های فایل «Sigs.py» هنوز ناشناس باقی‌مانده‌اند.

هفته گذشته جوان آندرس گوئررو سعده (Juan Andres Guerrero-Saade)، کارشناس سابق آزمایشگاه کسپرسکی و گوگل در وبینار امنیت سایبری «OPCDE» اعلام کرد بسته شماره ۳۷ فایل یادشده مربوط به گروه هکری «Nazar APT» بوده و انتساب نادرست آن را تصحیح کرد، چراکه پیشتر فرض بر این بود که شماره ۳۷، گروه APT چینی به نام «Iron Tige» است.

به گفته این کارشناس، بسته شماره ۳۷ جهت ردیابی گروه هکری «Nazar APT» اختصاص‌یافته که با هیچ‌یک از گروه‌های مشهور APT ارتباطی ندارد و زمان پیدایش آن به سال ۲۰۰۸ برمی‌گردد و بین سال‌های ۲۰۱۰ تا ۲۰۱۳ بسیار فعال بوده است.