NARIMANGHARIB Telegram 1693
کمپین "شغل رؤیایی ایرانی" که توسط تیم تحقیقاتی امنیت سایبری ClearSky شناسایی شده، یک کمپین هدفمند توسط گروه تهدیدی TA455 است که صنعت هوافضا را با ارائه پیشنهادات شغلی جعلی هدف قرار می‌دهد.

در این کمپین، بدافزاری به نام SnailResin توزیع می‌شود که منجر به فعال شدن درب پشتی SlugResin می‌شود. ClearSky این بدافزارها را به زیرگروهی از گروه Charming Kitten نسبت داده است. با این حال، برخی از شرکت‌های تحقیقاتی سایبری، فایل‌های بدافزار را به گروه Kimsuky/Lazarus از کره شمالی نسبت داده‌اند.

شباهت‌های میان تکنیک‌های حمله، فایل‌های بدافزار و روش جذب با "شغل رؤیایی" نشان می‌دهد که یا Charming Kitten به منظور پنهان کردن فعالیت‌های خود در حال تقلید از گروه Lazarus است، یا اینکه کره شمالی تکنیک‌ها و ابزارهای خود را با ایران به اشتراک گذاشته است.

این کمپین از حداقل سپتامبر ۲۰۲۳ فعال بوده است. پیش از این، Mandiant نیز فعالیت‌های جاسوسی مشکوک ایران را علیه صنایع هوافضا، هوانوردی و دفاعی در کشورهای خاورمیانه از جمله اسرائیل و امارات متحده عربی، همچنین ترکیه، هند و آلبانی گزارش کرده بود. پروفایل‌های جعلی در لینکدین که توسط این کمپین استفاده می‌شود، نسخه‌های جدیدتری از پروفایل‌هایی هستند که قبلاً توسط Mandiant شناسایی شده بودند، از جمله یک پروفایل جعلی با نام "Careers 2 Find" که پیش‌تر به وبسایت جعلی "1st Employer" وابسته بود.

نحوه عملکرد کمپین

TA455 با استفاده از وب‌سایت‌های جعلی و پروفایل‌های لینکدین، یک فایل ZIP حاوی فایل‌های مخرب را توزیع می‌کند. این فایل ZIP، که شامل فایل‌های قانونی است، از دامنه‌ای شبیه به یک وب‌سایت استخدامی دانلود می‌شود. به قربانیان یک راهنمای PDF داده می‌شود تا نحوه "دسترسی ایمن" به وب‌سایت را یاد بگیرند و به این ترتیب از انجام اشتباهاتی که ممکن است مانع "آلوده شدن" شوند، جلوگیری شود. پس از دانلود فایل، قربانی بر روی فایل EXE مشخص‌شده کلیک می‌کند که فایل DLL مخرب "secur32[.]dll" را از طریق بارگذاری جانبی DLL فعال می‌کند. بدافزار، آدرس IP قربانی را بررسی کرده و اطلاعات را از حساب GitHub که آدرس سرور C&C در آن ذخیره شده است، دانلود می‌کند.

—————
https://www.clearskysec.com/irdreamjob24/
https://www.clearskysec.com/wp-content/uploads/2024/11/Iranian-Dream-Job-ver1.pdf

@NarimanGharib



tgoop.com/NarimanGharib/1693
Create:
Last Update:

کمپین "شغل رؤیایی ایرانی" که توسط تیم تحقیقاتی امنیت سایبری ClearSky شناسایی شده، یک کمپین هدفمند توسط گروه تهدیدی TA455 است که صنعت هوافضا را با ارائه پیشنهادات شغلی جعلی هدف قرار می‌دهد.

در این کمپین، بدافزاری به نام SnailResin توزیع می‌شود که منجر به فعال شدن درب پشتی SlugResin می‌شود. ClearSky این بدافزارها را به زیرگروهی از گروه Charming Kitten نسبت داده است. با این حال، برخی از شرکت‌های تحقیقاتی سایبری، فایل‌های بدافزار را به گروه Kimsuky/Lazarus از کره شمالی نسبت داده‌اند.

شباهت‌های میان تکنیک‌های حمله، فایل‌های بدافزار و روش جذب با "شغل رؤیایی" نشان می‌دهد که یا Charming Kitten به منظور پنهان کردن فعالیت‌های خود در حال تقلید از گروه Lazarus است، یا اینکه کره شمالی تکنیک‌ها و ابزارهای خود را با ایران به اشتراک گذاشته است.

این کمپین از حداقل سپتامبر ۲۰۲۳ فعال بوده است. پیش از این، Mandiant نیز فعالیت‌های جاسوسی مشکوک ایران را علیه صنایع هوافضا، هوانوردی و دفاعی در کشورهای خاورمیانه از جمله اسرائیل و امارات متحده عربی، همچنین ترکیه، هند و آلبانی گزارش کرده بود. پروفایل‌های جعلی در لینکدین که توسط این کمپین استفاده می‌شود، نسخه‌های جدیدتری از پروفایل‌هایی هستند که قبلاً توسط Mandiant شناسایی شده بودند، از جمله یک پروفایل جعلی با نام "Careers 2 Find" که پیش‌تر به وبسایت جعلی "1st Employer" وابسته بود.

نحوه عملکرد کمپین

TA455 با استفاده از وب‌سایت‌های جعلی و پروفایل‌های لینکدین، یک فایل ZIP حاوی فایل‌های مخرب را توزیع می‌کند. این فایل ZIP، که شامل فایل‌های قانونی است، از دامنه‌ای شبیه به یک وب‌سایت استخدامی دانلود می‌شود. به قربانیان یک راهنمای PDF داده می‌شود تا نحوه "دسترسی ایمن" به وب‌سایت را یاد بگیرند و به این ترتیب از انجام اشتباهاتی که ممکن است مانع "آلوده شدن" شوند، جلوگیری شود. پس از دانلود فایل، قربانی بر روی فایل EXE مشخص‌شده کلیک می‌کند که فایل DLL مخرب "secur32[.]dll" را از طریق بارگذاری جانبی DLL فعال می‌کند. بدافزار، آدرس IP قربانی را بررسی کرده و اطلاعات را از حساب GitHub که آدرس سرور C&C در آن ذخیره شده است، دانلود می‌کند.

—————
https://www.clearskysec.com/irdreamjob24/
https://www.clearskysec.com/wp-content/uploads/2024/11/Iranian-Dream-Job-ver1.pdf

@NarimanGharib

BY Nariman Gharib ——





Share with your friend now:
tgoop.com/NarimanGharib/1693

View MORE
Open in Telegram


Telegram News

Date: |

A few years ago, you had to use a special bot to run a poll on Telegram. Now you can easily do that yourself in two clicks. Hit the Menu icon and select “Create Poll.” Write your question and add up to 10 options. Running polls is a powerful strategy for getting feedback from your audience. If you’re considering the possibility of modifying your channel in any way, be sure to ask your subscribers’ opinions first. Members can post their voice notes of themselves screaming. Interestingly, the group doesn’t allow to post anything else which might lead to an instant ban. As of now, there are more than 330 members in the group. But a Telegram statement also said: "Any requests related to political censorship or limiting human rights such as the rights to free speech or assembly are not and will not be considered." A Telegram channel is used for various purposes, from sharing helpful content to implementing a business strategy. In addition, you can use your channel to build and improve your company image, boost your sales, make profits, enhance customer loyalty, and more. It’s yet another bloodbath on Satoshi Street. As of press time, Bitcoin (BTC) and the broader cryptocurrency market have corrected another 10 percent amid a massive sell-off. Ethereum (EHT) is down a staggering 15 percent moving close to $1,000, down more than 42 percent on the weekly chart.
from us


Telegram Nariman Gharib ——
FROM American