بررسی تروجان FALLCHILL ؛ ابزار مدیریت از راه دور کره شمالی

به گزارش کار گروه امنیت سایبربان؛ پس از ارائه هشدارهای مشترک وزارت امنیت داخلی و پلیس فدرال آمریکا در رابطه با فعالیت باج افزارها مشخص شد که باج افزار FALLCHILL فعالیت مخرب خود را روی زیرساخت‌هایی مانند آدرس‌های اینترنتی (IP) و سایر شاخص‌های ارتباطی را با استفاده از این تروجان تحت تأثیر قرار داده‌اند. این در حالی است که دولت آمریکا، کره شمالی را مقصر اصلی و سازنده این تروجان اعلام کرده است. در این میان، سیستم‌های شبکه از مهم‌ترین تجهیزات و زیرساخت‌های تحت حمله توسط این تروجان شناخته‌ شده‌اند.
کارشناسان امنیتی FBI بر این باورند که سازندگان تروجان نام‌برده که در قالب گروهی به نام «کبرای پنهان» (HIDDEN COBRA) فعالیت خود را پیش می‌برند با استفاده از IP های مورداستفاده در فایل‌های IOC، جهت حضور در شبکه قربانی و افزایش بهره‌وری شبکه استفاده می‌کنند.

توضیحات
با توجه به گزارش‌های ارائه‌شده، مهاجمان فعالیت خود را از سال 2016 با استفاده از نرم‌افزار مخرب FALLCHILL شروع کرده بودند که بیشتر زیرساخت‌های صنعت، هوافضا، مخابرات و امور مالی را تحت تأثیر خود قرار داده‌اند. این بدافزار به‌عنوان یک RAT کاملاً کاربردی است که دستورات متعددی را از سرور کنترل و فرماندهی (C2) دریافت کرده و به سیستم قربانی از طریق پروکسی دوگانه ارسال می‌کند.
در طول بررسی‌های صورت گرفته مشخص شد که بدافزار FALLCHILL بیش از 83 گره حیاتی و کاربردی را تحت حملات خود قرار داده است.

جزییات فنی
تروجان گروه فوق، مؤلفه اصلی یک زیرساخت C2 است که از پروکسی‌های متعدد برای ترافیک شبکه‌ای مورداستفاده قرار می‌گیرد. با توجه به گزارش‌های ارائه‌شده، کاربران HIDDEN COBRA با استفاده از پروکسی، فعالیت مخرب خود را پیش می‌برند.

تروجان یادشده با برقراری ارتباط جعلی و با استفاده از لایه امنیتی (TLS)، با رمزگذاری RC4 و به‌صورت کلید [0d 06 09 2a 86 48 86 f7 0d 01 01 01 05 00 03 82] شروع به جمع‌آوری اطلاعات سیستم موردنظر می‌کند که در زیر اشاره‌شده است.

•    اطلاعات سیستم‌عامل
•    اطلاعات پردازنده
•    نام سیستم
•    اطلاعات IP آدرس محلی
•    تولید ID منحصربه‌فرد
•    دسترسی به آدرس MAC
 سازمان‌های امنیتی به کاربران توصیه می‌کنند برای جلوگیری از فعالیت این نوع بدافزار، به‌صورت مداوم شبکه اطلاعات را موردبررسی قرار دهند که با استفاده از این کار می‌توان به شناسایی هر یک از آدرس‌های IP ارائه‌شده پرداخت.

استراتژی‌های کاهش حملات
وزارت امنیت داخلی آمریکا به کاربران توصیه می‌کند برای به حداقل رساندن تهدیدات این تروجان، اقدامات زیر را انجام دهند.
•    استفاده از whitelisting به‌عنوان یکی از استراتژی‌های امنیتی به شمار می‌رود که اجازه اجرای برنامه‌های خاص را می‌دهد.
•    به‌روز نگه‌داشتن سیستم‌عامل و نرم‌افزارهای مورداستفاده
•    به‌روز نگه‌داشتن نرم‌افزار آنتی‌ویروس مورداستفاده
•    محدود کردن دسترسی کاربران برای نصب و اجرای برنامه‌های نرم‌افزاری مورداستفاده.
•    عدم استفاده و باز نکردن آدرس ایمیل‌های ناشناس