حمله گودال آب به شرکت های صنعتی

محققان امنیتی چندین حمله گودال آب را شناسایی کرده اند که همگی از ویژگی های یکسان برخوردار هستند. هکرها از فریم ورک مشخصی استفاده می کنند که به منظور جمع آوری اطلاعات، توسعه یافته است.

حمله گودال آب یا watering hole چیست؟ در این نوع حمله، هکر ابتدا سایت هایی که قربانی بیشتر از آن ها بازدید می کند، شناسایی می کند. سپس بدافزار خود را در این سایت ها وارد می کند. هنگامی که کاربر به سایت مراجعه کرد، بدافزار بر روی سیستم کاربر نصب می شود.

در گودال آب هکرها کدهای مخرب جاوا اسکریپت را وارد سایت می کنند. اما در این حمله جدید، یک فریم ورک در سایت قرار می گیرد. این فریم ورک داده های مختلفی را از سیستم های قربانی جمع آوری می کند و آن ها را به سرور C&C ارسال می کند. هم چنین این فریم ورک می تواند لیست نرم افزارهای موجود در سیستم قربانی را شناسایی کند. هکر با داشتن این لیست و یافتن آسیب پذیری های آن ها، می تواند به سیستم کاربر نفوذ کند.

فریم ورک استفاده شده توسط هکرها شامل پلاگین های مختلفی به منظور جمع آوری اطلاعات نرم افزارهای نصب شده، می شود. هم چنین دارای قابلیت کی لاگ است تا تمام رفتارهای کاربر را ثبت کند و به سرور C&C ارسال کند.

محققان امنیتی IP سرور C&C را 122.10.9.109 شناسایی کرده اند که در هنگ کونگ قرار دارد. قبل از اینکه فریم ورک داده ها را به سرور C&C ارسال کند، آن ها را توسط تابع زیر رمزنگاری می کند.

شرکت هایی که بوسیله روش گودال آب هدف قرار گرفته اند، شرکت های معروفی نیستند، اما نرم افزارهایی که طراحی می کنند، در شبیه سازی و مهندسی سیستم استفاده می شود. این نرم افزارها توسط شرکت هایی مختلفی از جمله automotive و aerospace استفاده می شود.

به ادمین های شبکه توصیه می شود تا ترافیک انتقالی از mail.webmailgoogle.com و js.webmailgoogle.com  و 122.10.9.109 را زیرنظر بگیرند تا فعالیت های مخرب را به موقع شناسایی کنند.