PupyRAT عبـارة عن نظام أساسي مشترك (Windows و Linux و OSX و Android) وهو أداة للإدارة عن بعد وما بعد الاستغلال
تمت كتابته في بيثون ، وهو بمثابة مستتر ، ويسمح للمهاجمين بإنشاء قذائف أمر عن بعد وسرقة بيانات اعتماد كلمة المرور وتسجيل ضربات المفاتيح وسرقة الملفات وتسجيل كاميرات الويب.
الغرض من الأداة هو استخدام أغراض الفريق الأحمر ، لكن مجموعات القرصنة الإيرانية APT33 (Elfin ، و Magic Hound ، و HOLMIUM) و COBALT GYPSY (التي تتداخل مع APT34 / OilRig) ، استخدمت الأداة بكثرة
تحول التركيز على منظمة قطاع الطاقة الهجوم
تشتهر هذه المجموعات باستهداف قطاعات تكنولوجيا المعلومات في الولايات المتحدة وأوروبا وأماكن أخرى ، والآن يتعين عليها استهداف أنظمة التحكم الفيزيائية في المرافق الكهربائية والتصنيع ومصافي النفط
لاحظ باحثو الأمن من Recorded Future وجود خادم بريد إلكتروني تابع لمؤسسة قطاع الطاقة في أوروبا يتواصل مع خادم التحكم والسيطرة (C2) من PupyRAT في الفترة ما بين أواخر نوفمبر 2019 وحتى 5 يناير 2020 على الأقل
لقد قاموا بتحليل البيانات الوصفية التي تؤكد الحل الوسط ، "إننا نقيِّم أن حجم الاتصالات الكبيرة والمتكررة من خادم البريد المستهدف إلى PupyRAT C2 تكفي للإشارة إلى اقتحام محتمل
لا يمكن للباحثين تأكيد مجموعة الاختراق الإيرانية التي استخدمت PupyRAT لمهاجمة خادم البريد التابع لمنظمة البنية التحتية الحيوية عالية القيمة
المجموعات الإيرانية تعرف أنها تستهدف مجموعة واسعة من الصناعات في الولايات المتحدة وأوروبا ، ويوضح هذا الهجوم الأخير تزايد معدل الهجمات التي تستهدف برامج التحكم الصناعي لقطاع الطاقة
في العام الماضي ، هاجم قراصنة كوريا الشمالية محطة الطاقة النووية الهندية [KKNPP] باستخدام برنامج Dtrack Malware وتمكنوا من اختراق وحدة التحكم بالمجال
البرامج الضارة Dtrack المصممة للتجسس على الأجهزة الضحية ، فإنه يستخرج البيانات الحساسة من الأجهزة الضحية
التخفيف المقترح
- رصد لمحاولات تسجيل الدخول
- تمكين المصادقة متعددة العوامل
- استخدام مدير كلمة المرور
- تحليل بيانات سجل الاتصال