התוקפים מפיצים קמפיין ריגול סייבר באוקראינה על ידי ריגול במיקרופונים למחשב האישי על מנת להאזין בחשאי לשיחות פרטיות ולאחסן נתונים גנובים ב- Dropbox. ההתקפה, שכונתה מבצע BugDrop, מכוונה לחוקרי תשתית, מדיה ומדעים קריטיים.

חברת הסייבר-סייבר אישרה את הפיגועים ואמרה כי מבצע BugDrop פגע בלפחות 70 קורבנות ברחבי אוקראינה. על פי CyberX, פעולת הריגול בסייבר החלה לא יאוחר מיוני 2016 עד היום. מהחברה נמסר:

הפעולה מבקשת לתפוס מגוון מידע רגיש מיעדיו כולל הקלטות שמע של שיחות, צילומי מסך, מסמכים וסיסמאות. שלא כמו הקלטות וידיאו שנחסמות לרוב על ידי משתמשים שפשוט מניחים קלטת מעל עדשת המצלמה, כמעט בלתי אפשרי לחסום את המיקרופון של המחשב שלך מבלי לגשת או להשבית את חומרת המחשב.

יעדים ושיטות

כמה דוגמאות ליעדי מבצע BugDrop כוללים:

• חברה המתכננת מערכות ניטור מרחוק לתשתיות צינור נפט וגז.
• ארגון בינלאומי המפקח על זכויות אדם, טרור נגד התקפות סייבר על תשתיות קריטיות באוקראינה.
• חברת הנדסה המתכננת תחנות משנה חשמל, צינורות חלוקת גז ומתקני אספקת מים.
• מכון מחקר מדעי.
• עורכי עיתונים אוקראינים.

ליתר דיוק, הפיגוע פנה לקרבנות במדינות הבדלניות באוקראינה דונייצק ולוהנסק. בנוסף ל- Dropbox, התוקפים משתמשים גם בטקטיקות המתקדמות הבאות:

• הזרקת Reflective DLL, טכניקה מתקדמת להזרקת תוכנות זדוניות ששימשה גם את BlackEnergy במתקפות הרשת האוקראינית ועל ידי דואק בהתקפות Stuxnet על מתקני הגרעין האיראניים. הזרקת DLL רפלקטיבית טוענת קוד זדוני מבלי להתקשר לשיחות הרגילות של ממשק ה- API של Windows, ובכך לעקוף את אימות האבטחה של הקוד לפני שהוא נטען לזיכרון.
• קבצי ה- DLL המוצפנים, ובכך נמנעים מגילוי על ידי מערכות אנטי-וירוס וארגזי חול נפוצות מכיוון שאינם יכולים לנתח קבצים מוצפנים.
• אתרי אירוח אתרים לגיטימיים בחינם לתשתית הפקודה והבקרה שלה. שרתי C&C מהווים מכה פוטנציאלית עבור תוקפים מכיוון שחוקרים יכולים לעתים קרובות לזהות תוקפים באמצעות פרטי רישום עבור שרת ה- C&C המתקבל באמצעות כלים זמינים בחופשיות כגון whois ו- PassiveTotal. אתרי אירוח אתרים בחינם, לעומת זאת, דורשים מעט מידע או רישום. מבצע BugDrop משתמש באתר אירוח אתרים בחינם כדי לאחסן את מודול הליבה לתוכנות זדוניות המורד לקורבנות נגועים. לשם השוואה, התוקפים של Groundbait רשמו ושילמו עבור דומיינים זדוניים וכתובות IP שלהם.

על פי CyberX, מבצע BugDrop מחקה מאוד את מבצע Groundbait שהתגלה במאי 2016 ומכוון לאנשים פרו-רוסים.