05:37 . "الجنائية الدولية" تصدر مذكرتي اعتقال بحق نتنياهو وغالانت... المزيد |
11:29 . الذهب يواصل المكاسب مع احتدام الحرب الروسية الأوكرانية... المزيد |
11:01 . أنجيلا ميركل: سعيتُ لإبطاء انضمام أوكرانيا للناتو بسبب مخاوف من رد روسي... المزيد |
10:54 . منافسات جائزة زايد الكبرى لسباقات الهجن 2024 تنطلق الإثنين المقبل... المزيد |
10:45 . النفط يصعد وسط قلق بشأن الإمدادات جراء التوترات الجيوسياسية... المزيد |
10:38 . عاصفة مميتة تضرب شمال غرب أمريكا وتحرم مئات الألوف من الكهرباء... المزيد |
10:30 . دبلوماسي سوداني: مجلس الأمن تلقى تقريراً سرياً عن دعم أبوظبي لقوات الدعم السريع... المزيد |
10:20 . مجلس الشيوخ يعيق محاولة وقف مبيعات أسلحة للاحتلال الإسرائيلي... المزيد |
10:13 . وزير يمني سابق يتحدث عن وصول طائرات عسكرية من الإمارات إلى شبوة... المزيد |
01:03 . الإمارات تأسف للفيتو الأمريكي ضد قرار وقف الحرب على غزة... المزيد |
12:10 . الموارد البشرية: ضبط 1934 منشأة خاصة تحايلت على "مستهدفات التوطين"... المزيد |
09:48 . الأردن تسجن النائب السابق "عماد العدوان" 10 سنوات بتهمة تهريب أسلحة إلى فلسطين... المزيد |
09:35 . ترامب يختار مسؤولة مصارعة سابقة وزيرةً للتعليم... المزيد |
09:21 . رئيس الدولة وملك الأردن يبحثان المستجدات في غزة ولبنان... المزيد |
09:15 . فيتو أمريكي في مجلس الأمن على مشروع قرار يطلب وقف النار في غزة... المزيد |
08:07 . محكمة باكستانية تطلق سراح عمران خان بكفالة في "قضية الفساد"... المزيد |
كشف تقرير لموقع "candid.technology" الهندي المتخصص في التكنولوجيا، اليوم الثلاثاء، عن قيام قراصنة إيرانيين بعملية تجسس إلكتروني واسعة النطاق تستهدف صناعات الفضاء والدفاع والطيران في عدة دول بينها الإمارات؛ من خلال مخطط يُعرف باسم حملة "وظيفة الأحلام".
وأوضح الموقع أن الحملة تقوم بها مجموعة تهديد إيرانية متقدمة تسمى "TA455" وتتبع مجموعة "Charming Kitten" سيئة السمعة (المعروفة أيضًا باسم APT35 وSmoke Sandstorm)، وتستخدم الحملة تكتيكات هندسية اجتماعية متطورة، حيث تتظاهر بأنها شركات توظيف لجذب أهداف عالية القيمة.
وتهاجم المجموعة مجال صناعات الفضاء والطيران والدفاع في الإمارات "إسرائيل" وتركيا وألبانيا.
وبحسب الموقع، فإن طريقة عمل الحملة تتضمن إنشاء ملفات تعريف وهمية لشركات التوظيف على LinkedIn ومواقع الوظائف، وتقديم وظائف مرموقة في قطاعي الفضاء والدفاع لجذب الضحايا المحتملين. وبمجرد اهتمام الضحية، يتم خداعه لتنزيل ملفات تحتوي على برنامج SnailResin الخبيث، والذي يمنح المهاجمين إمكانية الوصول إلى أنظمتهم.
باستخدام تقنية التحميل الجانبي لـ DLL، يمكن للمجموعة الإيرانية المهاجمة تنفيذ تعليمات برمجية ضارة تحت ستار التطبيقات الموثوقة، مما يجعل الكشف أكثر صعوبة بشكل كبير.
وأشار الموقع إلى أنه بمجرد تنشيطه، يتيح SnailResin الوصول إلى بيانات الضحية ويجمع معلومات بالغة الأهمية، بما في ذلك عناوين IP وتفاصيل النظام، لتسهيل عملية التسلل على مراحل.
بالإضافة إلى ذلك، تم تصميم استراتيجية التصيد الاحتيالي للمهاجمين الإيرانيين بعناية لاستهداف المهنيين المتخصصين للغاية. تم إنشاء ملفات تعريف LinkedIn المزيفة المرتبطة بشركات غير موجودة، مثل "Careers 2 Find"، لإضفاء الشرعية على هؤلاء المجندين الوهميين.
وتستخدم الملفات الشخصية تكتيكات لتجاوز الشكوك الأولية، وإضافة مصداقية إلى عروض العمل التي تقدم في النهاية ملفات ZIP ضارة.
وقال الموقع إن البرامج الضارة داخل هذه الملفات تم تصميمها للتهرب من اكتشاف برامج مكافحة الفيروسات، مشيراً إلى أن خمسة برامج مكافحة فيروسات صنفتها على أنها خطيرة، حتى أن بعضها أخطأ في تحديدها على أنها برامج ضارة كورية شمالية من مجموعة Kimsuky.
لتجنب الكشف، حرصت المجموعة الإيرانية ((TA455 على إخفاء بنيتها التحتية من خلال تضمين توزيع البرامج الضارة داخل خدمات الإنترنت المشروعة مثل GitHub وCloudflare. من خلال استخدام منصات مثل GitHub لاستضافة خوادم C2، تحجب المجموعة الإيرانية اتصالاتها، وتدمج هذه العناوين في ملفات نصية غير ملحوظة بخلاف ذلك.
ولا تخفي هذه التقنية البنية التحتية للمهاجم فحسب، بل تجعل من الصعب أيضًا على فرق الأمن السيبراني التمييز بين النشاط المشروع والضار.
هجمات دقيقة
وأوضح الموقع أن المجموعة تستخدم Cloudflare لإخفاء الموقع الفعلي لخوادمها. أحد المجالات الضارة التي تم تحديدها، careers2find[.]com، استضاف برنامج SnailResin الخبيث متنكرا في شكل ملف ZIP لعرض عمل.
وتم تسجيل المجال قبل أربعة أشهر فقط من نشر البرنامج الخبيث، مما يشير إلى أن TA455 تخطط بدقة لكل هجوم وتدير بنيتها التحتية بشكل متكرر لتجنب الكشف.
وكشفت التحقيقات الإضافية أن المهاجم استخدم اتصالات مشفرة لنقل بيانات خادم C2 الحساسة إلى إيران مع إخفاء مساراتهم من خلال تبديل عناوين IP والمجالات.
تبدأ سلسلة العدوى متعددة المراحل هذه برسالة بريد إلكتروني تصيدية تحتوي على ملفات ضارة متعلقة بالوظيفة، مثل ملف PDF يوفر تعليمات "التصفح الآمن" لتشجيع الضحية على فتح المرفق المصاب.
ويوصي الخبراء بتضمين اليقظة المتزايدة في ممارسات التوظيف الرقمية، وتدريب الموظفين على التعرف على محاولات التصيد ونشر أمان معزز حول LinkedIn ومنصات التوظيف.