حمله به اسراییل با زئوس

به گزارش واحد متخصصین سایبربان، حمله‌های مختلفی زیرساخت‌های اقتصادی، دولتی و امنیتی اسراییل را هدف گرفتند. در این حمله از بدافزار زئوس برای آلوده سازی کامپیوترها استفاده شد.

آسیب‌پذیری که بدافزار زئوس توانست با استفاده از آن وارد سامانه‌های اسراییل شود، مربوط به آفیس مایکروسافت و ویرایشگر متن آن Microsoft Word بود.

هکرها به‌منظور استفاده از آسیب‌پذیری مایکروسافت، از بسته بهره‌برداری آسیب‌پذیری (Exploit Kit) به نام MWI استفاده کردند که مخفف Microsoft Word Intruder است و برای همین کار توسعه‌یافته است.

شناسایی حمله، پس از ارسال فایل RTF مشکوک برای تحلیل بیشتر به محققان امنیتی صورت گرفت. این فایل از طریق ایمیل و پیاده‌سازی حمله فیشینگ، به کاربران ارسال‌شده بود.

پس از باز کردن فایل مخرب توسط کاربر، بدافزار زئوس فعالیت خود را آغاز می‌کند. با استفاده از بدافزار زئوس می‌توان بسیاری از اطلاعات مهم ازجمله نام کاربری و رمز عبور، اطلاعات بانکی، اطلاعات مرورگر، سرور FTP و ... را به دست آورد.

پس از بررسی سرور C&C، آی.پی هکرها از آلمان شناسایی شد. با کمک ارائه‌دهنده سرویس اینترنتی آلمان (ISP) محتوا و لاگ‌های سرور بررسی شد. پس از بررسی مشخص شد، برای آلوده سازی، از بدافزارهای مختلفی به‌غیراز زئوس هم استفاده‌شده است. علاوه بر این مشخص شد، سرور اجاره‌شده در آلمان، درواقع شاهراه تبادل اطلاعاتی میان گروه‌های متخلف عملیات هک بوده و پنل مدیریت هر گروه در این سرور قرار داشته است.

در شکل زیر پنل هکرها دیده می‌شود. در ستون Action، کلمه Load به معنی داشتن دسترسی کامل به قربانی است.

شکل زیر، لاگ‌های پیاده‌سازی حمله فیشینگ بر روی قربانیان است که در ستون Status، کلمه open نشان‌دهنده باز شدن فایل توسط قربانی است.

با بررسی آی.پی‌های آلوده مشخص شد، 49 درصد قربانیان برای اسراییل هستند.بررسی آی.پی‌های آلوده اسراییل نشان می‌دهد، 200 کامپیوتر در 15 نقطه مختلف جغرافیایی هدف حمله قرارگرفته‌اند که مربوط به دولت، بیمارستان، شرکت‌های امنیتی و تحقیقاتی می‌شدند.