🚨فیلترشکن جعلی؛ پروژه جمهوری اسلامی برای جاسوسی سایبری!

⛔️شرکت امنیتی Lookout اعلام کرد که گروه هکر ایرانی «MuddyWater» که به نهادهای اطلاعاتی و امنیتی جمهوری اسلامی وابسته است، از نسخه جدیدی از بدافزار اندروید موسوم به DCHSpy استفاده می‌کند. این کشف تنها یک هفته پس از آغاز جنگ بین #اسرائیل و #ایران انجام شد. چهار نمونه جدید از این بدافزار که جمع‌آوری شده، نشان‌دهنده استفاده‌ فعال از آن برای #جاسوسی از گوشی‌های قربانیان است. این ابزار قادر به جمع‌آوری داده‌های حساس شامل پیامک، مخاطبین، فایل‌ها، موقعیت جغرافیایی و حتی ضبط صدا و عکس‌برداری است

⛔️این بدافزار به صورت ماژولار طراحی شده و با پوششی مانند اپلیکیشن‌های #فیلترشکن یا بانکی منتشر می‌شود؛ نمونه‌هایی با نام‌های جذاب مانند Starlink VPN نشان می‌دهد برای کاربران ایرانی، به ویژه در زمان #اختلالات_اینترنت یا استفاده از خدمات Starlink، طعمه‌گذاری شده است.

⛔️طراحی بدافزار به صورت ماژولار یعنی اینکه این اپ‌ها از بخش‌های جداگانه (ماژول‌ها) ساخته شده‌اند که هر کدام یک وظیفه خاص دارند و می‌توانند جداگانه فعال یا غیرفعال شوند. در این شرایط مهاجم می‌تواند فقط بعضی از قابلیت‌ها را فعال کند، نه همه را. این باعث سخت‌تر شدن شناسایی بدافزار می‌شود، زیرا مهاجم هر وقت بخواهد بخش‌های جاسوسی را فعال می‌کند. پس از نفوذ، این بدافزارها فایل‌ها را فشرده و رمزنگاری کرده و سپس به سرور مهاجمان ارسال می‌کند.

⛔️اما آنچه DCHSpy را خطرناک‌تر می‌کند، اشتراک زیرساخت آن با خانواده‌ای دیگر از بدافزارهای مشابه است. یکی از آن‌ها SandStrike نام دارد که در سال ۲۰۲۲ توسط Kaspersky شناسایی شد و برای جاسوسی از بهاییان استفاده می‌شد. نمونه‌های SandStrike دارای فایل پیکربندی VPN مخرب هستند که با آدرس‌های ویژه برای ارتباط با سرور کنترل و فرمان (C2) ساخته شده‌اند؛ این آدرس‌ها در DCHSpy نیز مشاهده شده‌اند که نشان‌دهنده استفاده گسترده گروه MuddyWater از زیرساخت‌های مشترک است.

⛔️محققان Lookout همچنین متوجه شدند که توزیع DCHSpy از طریق لینک‌های مخرب در پیام‌رسان‌هایی مانند تلگرام انجام می‌شود. این کانال‌ها کاربران فارسی‌زبان را با وعده ابزارهایی نظیر EarthVPN و ComodoVPN به سمت دانلود این برنامه‌ها سوق می‌دهند؛ در حالی که آدرس‌ها و شماره تماس‌های جعلی از کشورهای رومانی یا کانادا در تبلیغات به چشم می‌خورد.

@PaskoochehBot
@Paskoocheh