تیم تحقیقاتی GReAT کسپرسکی دو ابزار جدید از گروه جاسوسی Armored Likho (که پیش‌تر با بدافزار BusySnake Stealer معرفی کردیم — مقاله کمپین اول را اینجا بخوانید) را شناسایی کرده است: یک ابزار سرقت داده از تلگرام و یک ابزار شنود صوتی مخفی. این کشف نشان می‌دهد این گروه به‌طور فعال در حال توسعه ابزارهای خود است و دامنه قربانی را فراتر از سرقت اطلاعات متنی، تا شنود مستقیم جلسات گسترش داده است.
Still Sync: سرقت داده از حساب‌های تلگرام
Still Sync یک ابزار سرقت مبتنی بر زبان Rust است که پوشه‌های جلسه (tdata) تلگرام را استخراج کرده و با احراز هویت از طریق API تلگرام، وارد حساب قربانی می‌شود تا تاریخچه گفتگو، فایل‌های رسانه‌ای زیر ۲۵۰ مگابایت و اطلاعات گروه‌ها/کانال‌ها را استخراج کند. ارتباطات این ابزار از پروتکل gRPC با سریال‌سازی FlatBuffers استفاده می‌کند.
Still Audio: شنود مخفی مکالمات
Still Audio یک ابزار شنود صوتی پنهان است که با تشخیص فعالیت صوتی (VAD) مبتنی بر محاسبات Root Mean Square، به‌طور خودکار مکالمات را هنگام تشخیص صدا ضبط می‌کند و قبل از استخراج، صوت را با libmp3lame فشرده‌سازی می‌کند.
ویژگی‌های فنی جدید دیگر
- Dead Drop Resolver: استفاده از مخازن GitHub رمزنگاری‌شده به‌عنوان کانال پشتیبان.
- رمزنگاری Blowfish ECB: برای مخفی سازی ارتباطات.
- سوءاستفاده از Shadow Copy: برای ارتقاء سطح دسترسی و دسترسی به نسخه‌های پشتیبان.
چرا این تهدید برای سازمان‌های ایرانی مهم است؟
افزوده شدن قابلیت سرقت داده از تلگرام — ابزاری که در بسیاری از سازمان‌های ایرانی برای ارتباطات کاری استفاده می‌شود — و قابلیت شنود مخفی مکالمات از طریق میکروفون سیستم، تهدید جدی برای حریم شخصی و اطلاعات حساس سازمانی محسوب می‌شود.
توصیه‌های عملی
- محدود کردن دسترسی به میکروفون: بررسی مجوزه‌های برنامه‌هایی که به میکروفون دسترسی دارند.
- پایش ترافیک غیرمعمول به GitHub: اتصالات غیرعادی به مخازن کد رمزنگاری‌شده.
- محدودکردن دسترسی به Shadow Copy: از طریق سیاست‌های گروهی محدود.
- راهکار EDR مدرن: پوشش دادن رفتار غیرعادی متن―کاورکر (مانند ضبط صدا بدون مجوز).
جمع‌بندی
Armored Likho با افزودن این دو ابزار، دامنه عملیاتی خود را از سرقت فایل ساده به جاسوسی عمیق‌تر (مکالمات و ارتباطات تلگرام) گسترش داده است. دفاع مؤثر نیازمند ترکیبی از پایش دسترسی، پشتیبانی از اپ‌های ارتباطی حساس، و راهکارهای EDR قادر به شناسایی رفتار غیرعادی است. جزئیات کامل فنی این گزارش در مقاله اصلی کسپرسکی روی Securelist در دسترس است.
مشاوره امنیتی رایگان با کارشناسان فدک رایان
اگر نگران جاسوسی اطلاعاتی یا مکالماتی در سازمان خود هستید، کارشناسان فدک رایان با راهکارهای EDR و XDR کسپرسکی آماده پاسخگویی به سؤالات شما هستند. برای دریافت مشاوره تخصصی یا بررسی وضعیت امنیتی سازمان، همین امروز از طریق صفحه تماس با ما با ما در ارتباط باشید؛ کارشناسان ما در اسرع وقت پاسخگوی سؤالات شما خواهند بود.