بخش اطلاعات تهدیدات گوگل (GTIG) از شناسایی بدافزار تازه‌ای با نام “LostKeys” خبر داد که توسط گروه هکری تحت حمایت دولت روسیه موسوم به COLDRIVER برای جاسوسی از دولت‌های غربی، خبرنگاران و سازمان‌های غیردولتی مورد استفاده قرار گرفته است.
به گزارش تکناک، گروه COLDRIVER که با نام‌هایی مانند: Star Blizzard و Callisto Group نیز شناخته می‌شود، سابقه‌ای طولانی در حملات مهندسی اجتماعی و جاسوسی سایبری دارد. این گروه از سال ۲۰۱۷ تاکنون با بهره‌گیری از تکنیک‌های مهندسی اجتماعی و جمع‌آوری اطلاعات از منابع باز (OSINT)، حملات خود را علیه اهدافی مانند: سازمان‌های دفاعی، نهادهای دولتی و حتی مقامات سیاسی گسترش داده است. پس از حمله روسیه به اوکراین، فعالیت‌های این گروه شدت بیشتری یافته و دامنه اهداف آن به تأسیسات دفاعی و وزارت انرژی آمریکا نیز کشیده شده است.
گزارش گوگل حاکی از آن است که COLDRIVER از حملاتی موسوم به “ClickFix” بهره می‌برد؛ شیوه‌ای مبتنی بر فریب که در آن قربانیان، تشویق به اجرای اسکریپت‌های مخرب PowerShell می‌شوند. پس از اجرای این کدها، بدافزار “LostKeys” به سیستم قربانی نفوذ می‌کند و به عنوان یک ابزار سرقت اطلاعات وارد عمل می‌شود. این بدافزار که بر پایه زبان Visual Basic Script توسعه یافته است، فایل‌ها و دایرکتوری‌های خاصی را استخراج و به همراه اطلاعات سیستم به سرورهای کنترل‌کننده ارسال می‌کند.
همچنین گوگل اعلام کرده که COLDRIVER پیش از این از بدافزار دیگری به نام SPICA برای سرقت اسناد و فایل‌ها استفاده می‌کرده است، اما LostKeys به‌نظر می‌رسد که در موارد بسیار خاص و هدفمند به‌کار گرفته می‌شود، که نشان از سطح بالاتر پیچیدگی و اهمیت آن دارد.
جالب آنکه تنها COLDRIVER نیست که از حملات ClickFix بهره می‌برد. گروه‌های هکری وابسته به دولت‌های دیگر از جمله کره شمالی (Kimsuky) و دیگر گروه‌های روسی همچون APT28 نیز از تاکتیک‌های مشابه در کارزارهای جاسوسی خود استفاده کرده‌اند.
در واکنش به این تهدیدات، وزارت امور خارجه آمریکا تاکنون دو تن از اعضای COLDRIVER را تحریم کرده و جایزه‌ای ۱۰ میلیون دلاری برای ارائه اطلاعات و شناسایی سایر اعضای این گروه در نظر گرفته است. این اقدام نشان از جدیت ایالات متحده در مقابله با تهدیدات سایبری تحت حمایت دولت‌ها دارد.
