نحوه هدف قرار دادن سیستمهای کنترل صنعتی توسط باج افزار EKANS
به گزارش کارگروه امنیت سایبربان، به نقل از پایگاه اینترنتی ZDNet، در گزارشی تحقیقاتی جدیدی اعلام شد که بدافزارهایی که برای حمله به سیستمهای کنترل صنعتی (ICS) طراحیشدهاند، برای عوامل تهدیدگر همچنان سودمند هستند.
درحالیکه باج افزارها یکسوم رخدادهای مربوط به بدافزارها را بعد از سال ۲۰۱۹ به خود اختصاص دادهاند، هنگامیکه در سیستمهای مهم و حیاتی یک آلودگی ویرانکننده و مخرب به وجود آید، سرویسهای مهم تحتفشار زیاد مجبور خواهند شد تا برای پرداخت باج اقدام کنند. خانواده باج افزار EKANS یکی از این نمونههایی است که در کارزارهای هدفمند ICS استفادهشده است.
محققان توانستند دو نمونه مدرن این بدافزار را در ماههای می و ژوئن به دست بیاورند که ویژگیهای جالبی را نشان دادهاند. هر دو این نمونهها مبتنی بر ویندوز هستند و با زبان GO نوشتهشدهاند، که یکزبان برنامهنویسی است و بهطور گسترده در گروههای پیشرفته بدافزاری مورداستفاده قرار میگیرد. این موضوع به دلیل سادگی اجرای آن روی سیستمعاملهای مختلف است.
محققان متوجه شدند که باوجود تعداد زیادی خطای کد نویسی در نسخه ماه می باج افزار - بیش از ۱۲۰۰ رشته - این بدافزار همچنان قادر به عملکرد تاثیرگذاردر حملات علیه سیستمهای ICS است.
به نظر میرسد که EKANS بهگونهای طراحیشده است که قربانیان خود را هدفمند انتخاب کند. این بدافزار سعی میکند با بررسی دامنه متعلق به شرکت قربانی و مقایسه این اطلاعات با لیستهای IP، هدف خود را تأیید کند و اگر وضعیت هدف تأیید نشود، از فرایند آلودگی خارج میشود.
پس از دستیابی به یک هدف، باج افزار برای تسخیر اطلاعات، کنترلکننده دامنه را اسکن میکند.
هر دو نسخه از عملکرد باج افزارهای معمولی برخوردار هستند. هنگامیکه روی یک دستگاه آسیبپذیر قرار گیرند، بدافزار قادر به رمزگذاری فایلها خواهد بود و یک پیام باجگیری نمایش میدهد که درازای کلید رمزگشایی خواستار دریافت مبلغی است که ممکن است دسترسی به فایل های سیستم را بازیابی کند.
بااینحال، نمونه ماه ژوئن فراتر از این ویژگیها است و قابلیت عملکرد سطح بالایی را دارد که میتواند در یک مکان صنعتی ویرانگر باشد، ازجمله این ویژگیها قابلیت خاموش کردن فایروالهاست.
این افزونه جدید در EKANS تنها پیشرفت آن نبود. محققان خاطرنشان كردند كه برای جلوگیری از هرگونه محافظت موجود در ICS، این باج افزار نیز سعی خواهد كرد تا قبل از رمزگذاری، فایروال را خاموش كند، که این کار احتمالاً برای شناسایی ضدویروسها و دیگر راهکارهای دفاعی است تا راه هرگونه ارتباط با عامل خود را مسدود کند.
EKANS از رمزگذاری RSA برای قفلکردن سیستمهای آسیبدیده استفاده میکند و هر سیستمی را که سدی را در برابر فعالیتهای مخرب او ایجاد کند خاموش کرده و با حذف Shadow Copy توانایی بازیابی فایلها را مشکلتر میکند.
در کنار بررسی این بدافزار، محققان همچنین توضیحاتی را در خصوص جدیدترین تکنیکها و تاکتیکهای بهکاررفته توسط عوامل تهدید صنعتی منتشر کردند.
