Penyerang menyebarkan kempen pengintip siber di Ukraine dengan mengintip mikrofon PC untuk diam-diam mendengar perbualan peribadi dan menyimpan data yang dicuri di Dropbox. Operasi Dubbed Dubbed, serangan itu menyasarkan infrastruktur kritis, media, dan penyelidik saintifik.

Cybersecurity firm CyberX mengesahkan serangan itu, mengatakan Operation BugDrop telah melanda sekurang-kurangnya 70 mangsa di seluruh Ukraine. Menurut CyberX, operasi pengintip siber bermula paling lambat pada 2016 Jun hingga sekarang. Syarikat itu berkata:

Operasi ini bertujuan untuk menangkap pelbagai maklumat sensitif dari sasarannya termasuk rakaman audio perbualan, tembakan skrin, dokumen dan kata laluan. Tidak seperti rakaman video, yang sering disekat oleh pengguna hanya meletakkan pita ke atas lensa kamera, hampir mustahil untuk menyekat mikrofon komputer anda tanpa mengakses dan melumpuhkan perkakasan PC secara fizikal.

Sasaran dan kaedah

Beberapa contoh sasaran Operasi BugDrop termasuk:

• Sebuah syarikat yang merekabentuk sistem pengawasan jauh untuk infrastruktur pipa minyak & gas.
• Sebuah organisasi antarabangsa yang memantau hak asasi manusia, anti-keganasan dan cyberattacks mengenai infrastruktur kritikal di Ukraine.
• Sebuah syarikat kejuruteraan yang merancang pencawang elektrik, saluran paip pengedaran gas, dan loji bekalan air.
• Institut penyelidikan saintifik.
• Penyunting akhbar Ukraine.

Lebih khusus lagi, serangan menyerang mangsa di negara pemisah Ukraine dari Donetsk dan Luhansk. Selain Dropbox, penyerang juga menggunakan taktik maju berikut:

• Suntikan DLL yang mencerminkan, teknik canggih untuk menyuntik malware yang juga digunakan oleh BlackEnergy dalam serangan grid Ukraine dan oleh Duqu dalam serangan Stuxnet terhadap kemudahan nuklear Iran. Suntikan DLL Reflektif memuatkan kod berniat jahat tanpa memanggil panggilan API Windows biasa, dengan itu melangkau pengesahan keselamatan kod sebelum dimuatkan ke memori.
• DLL yang disulitkan, dengan itu mengelakkan pengesanan oleh sistem anti-virus dan sandbox yang biasa kerana mereka tidak dapat menganalisis fail yang disulitkan.
• Tapak web hosting percuma yang sah untuk infrastruktur arahan dan kawalannya. Pelayan C & C adalah kemungkinan terjejas bagi penyerang kerana penyiasat sering dapat mengenal pasti penyerang menggunakan butiran pendaftaran untuk pelayan C & C yang diperoleh melalui alat yang tersedia secara bebas seperti whois dan PassiveTotal. Laman web hosting percuma, sebaliknya, memerlukan sedikit atau tiada maklumat pendaftaran. Operasi BugDrop menggunakan laman web hosting percuma untuk menyimpan modul malware teras yang mendapat dimuat turun ke mangsa yang dijangkiti. Sebagai perbandingan, penyerang Groundbait mendaftar dan membayar untuk domain jahat mereka sendiri dan penerima alamat IP.

Menurut CyberX, Operasi BugDrop sangat meniru Operasi Groundbait yang ditemui pada bulan Mei 2016 yang menyasarkan individu pro-Rusia.