Georgia outs usa hacker-with photos

Cert.gov.ge واحدة من صورتين لصور متسلل روسي مزعوم. تم إصدار الصورة من قبل حكومة جورجيا.

في واحدة من الصور ، مستخدم ذو شعر داكن يمتزج في شاشة حاسوبه ، ربما يحير ما يحدث. وبعد دقائق ، يقطع اتصال جهاز الكمبيوتر الخاص به ، مدركًا أنه قد تم اكتشافه.

تم تضمين الصور في تقرير يزعم أن التوغلات نشأت من روسيا ، والتي أطلقت حملة عسكرية لمدة خمسة أيام في أغسطس 2008 ضد جورجيا سبقتها موجة من الهجمات الإلكترونية

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز الكمبيوتر الذي يعمل بنظام تشغيل Windows]

تم التقاط الصور المعنية بعد أن تمكن المحققون التابعون لفريق الاستجابة للطوارئ الحاسوبية التابع للحكومة الجورجية (Cert.gov.ge) من الطعم مستخدم الكمبيوتر لتحميل ما يعتقد أنه ملف يحتوي على معلومات حساسة. في الواقع ، احتوت على برنامج تجسس خاص بها. تم أخذ الكاميرا من كاميرا الويب الخاصة به.

خلفية

بدأت جورجيا التحقيق في التجسس عبر الإنترنت المرتبط بهذا الرجل في مارس 2011 بعد أن تم وضع علامة على ملف على جهاز كمبيوتر تابع لمسؤول حكومي على أنه "مشبوه" بواسطة مضاد فيروسات روسي برنامج يدعى الدكتور ويب.

كشف التحقيق عن عملية متطورة زرعت برامج خبيثة على العديد من المواقع الإخبارية الجورجية ، ولكن فقط على صفحات تحتوي على مقالات محددة من شأنها أن تثير اهتمام الأشخاص الذين قد يرغب الهاكر في استهدافهم ، على حد قول جيورجي جورجنيدزه. وهو متخصص في الأمن الإلكتروني مع Cert.gov.ge ، يتعامل مع حوادث أمان الكمبيوتر.

القصص الإخبارية التي تم اختيارها لجذب الضحايا كانت العناوين الرئيسية مثل "زيارة وفد حلف الناتو في جورجيا" و "الاتفاقيات والاجتماعات الأمريكية الجورجية" ، وفقًا إلى التقرير ، الذي نُشر بالاشتراك مع وزارة العدل في جورجيا ووكالة تبادل البيانات في LEPL ، والتي هي جزء من الوزارة.

تفاصيل المعركة

CERT-Georgia لن تقول بالضبط من هذا التنوب الكمبيوتر المصابة st ينتمي إلى. لكن ما تم وصفه أفضل وصف بأنه معركة إلكترونية ملحمية بين الأخيار الجورجيين وفريق من القراصنة ذوي المهارات العالية أو من المحتمل أن يكون مقرهم في روسيا.

اكتشفت الوكالة بسرعة أن ما بين 300 و 400 جهاز كمبيوتر موجود في وكالات حكومية رئيسية أصيبوا بالعدوى. ونقل الوثائق الحساسة لإسقاط الخوادم التي يسيطر عليها الشخص المعني. شكلت أجهزة الكمبيوتر المخترقة شبكة بوتات يطلق عليها "جوربوت".

تم برمجة البرنامج الخبيث للبحث عن كلمات رئيسية محددة - مثل الولايات المتحدة الأمريكية وروسيا وحلف الناتو و CIA- في مستندات Microsoft Word وملفات PDF ، وتم تعديلها في النهاية لتسجيل الصوت و أخذ لقطات. تم حذف المستندات في غضون دقائق قليلة من خوادم الاستلام ، بعد أن قام المستخدم بنسخ الملفات إلى جهاز الكمبيوتر الخاص به.

حظرت جورجيا الاتصالات بالخوادم التي تستقبل المستندات. ثم تم تطهير أجهزة الكمبيوتر المصابة من البرامج الضارة. ولكن على الرغم من معرفة أن العملية قد تم اكتشافها ، فإن المستخدم لم يتوقف. في الواقع ، صعد من لعبته.

في الجولة التالية ، أرسل سلسلة من رسائل البريد الإلكتروني إلى مسؤولين حكوميين يبدو أنها جاءت من رئيس جورجيا ، مع عنوان "[email protected]". تحتوي هذه الرسائل الإلكترونية على ملحق PDF ضار ، يزعم أنه يحتوي على معلومات قانونية ، مع استغلال قام بإيصال برامج ضارة.

لم يتم الكشف عن البرنامج الاستغلالي أو البرامج الضارة بواسطة برنامج الأمان.

كيف عملت هجمات PDF

استخدمت هجمات PDF تنسيق ملف XDP ، وهو عبارة عن ملف بيانات XML يحتوي على نسخة مشفرة Base64 من ملف PDF قياسي. تهربت الطريقة في وقت واحد من جميع برامج مكافحة الفيروسات وأنظمة كشف التسلل. في يونيو من هذا العام فقط حذر فريق الاستجابة لحالات الطوارئ في المملكة المتحدة من ذلك بعد استهداف وكالات الحكومة. وشهدت جورجيا مثل هذه الهجمات قبل أكثر من عام من التحذير.

كان ذلك أحد الأدلة الرئيسية التي لم تكن جورجيا تتعامل مع هاكر عادي ، ولكن ربما كان أحد المشاركين في فريق لديه معرفة قوية بالهجمات المعقدة. وعلم التجفير والذكاء.

"كان هذا الرجل يتمتع بمهارات عالية المستوى" ، قال غورغينيدزه.

طوال عام 2011 ، استمرت الهجمات وأصبحت أكثر تطوراً. وجد المحققون أن الشخص المعني كان متصلاً بهيروسين روسيين آخرين على الأقل بالإضافة إلى ألماني. كان نشطًا أيضًا في بعض منتديات التشفير. هذه القرائن ، إلى جانب بعض الممارسات الأمنية الضعيفة ، سمحت للمحققين بالتقرب منه.

ثم ، تم وضع فخ.

سمح مسؤولو جورجيا للمستخدم بإصابة أحد حواسيبهم عن قصد. على هذا الكمبيوتر ، وضعوا أرشيف ZIP تحت عنوان "اتفاقية جورجيا-حلف الناتو". أخذ الطعم ، الذي تسبب في تثبيت برنامج التجسس الخاص للمحققين.

من هناك ، تم تشغيل كاميرا الويب الخاصة به ، مما أدى إلى صور واضحة إلى حد ما لوجهه. ولكن بعد خمس إلى عشر دقائق ، تم قطع الاتصال ، ربما لأن المستخدم كان يعلم أنه قد تم اختراقه. ولكن في تلك الدقائق القليلة ، تم استخلاص جهاز الكمبيوتر الخاص به مثل الأشخاص الذين استهدفهم في الحكومة الجورجية.

واحدة من وثائق مايكروسوفت وورد ، مكتوبة باللغة الروسية ، تحتوي على تعليمات من معالج الرجل الذي تستهدفه وكيف تصيبه. ومن بين الأدلة الظرفية الأخرى التي تشير إلى المشاركة الروسية ، تسجيل موقع إلكتروني تم استخدامه لإرسال رسائل بريد إلكتروني ضارة. وقد تم تسجيله على عنوان بجانب جهاز الأمن الفيدرالي في البلاد ، المعروف سابقا باسم الكي جي بي ، وفقا للتقرير.

"لقد حددنا وكالات الأمن الروسية ، مرة أخرى ،" ويختتم التقرير.

بسبب العلاقات المتوترة بين روسيا وجورجيا ، من غير المحتمل أن يكون الشخص الذي في الصورة - الذي لم يكشف عن اسمه - سيحاكم في أي وقت إذا عاش في روسيا.