حمله کمپین چینی به سرورهای سراسر جهان

به گزارش کارگروه حملات سایبری سایبربان؛ محققان امنیتی شرکت «Guardicore» در تل‌آویو از شناسایی یک کمپین مخرب راه‌اندازی شده به‌وسیله یک هکر چینی خبر دادند که بیش از 50 هزار سرور «MS-SQL» و «PHPMyAdmin» ویندوز را در سراسر جهان با نوعی بدافزار – ترکیبی عجیب از نقصی پیچیده – آلوده کرده بود.

به گفته Guardicore، ، شرکت‌های فعال در زمینه‌های مراقبت‌های بهداشتی، مخابراتی، رسانه‌ای و فناوری اطلاعات تحت تاثیر قرار گرفته‌اند. تعداد قابل توجهی از سرورهای مورد تهاجم واقع شده، از روت‌کیت‌های مخصوص کرنل برای مقابله با بدافزارها (معمولا  ماینرهای ارزهای دیجیتالی)، بهره می‌گرفتند و توسط اطلاعات آلوده، مورد نفوذ واقع شدند.

این درایور کرنل دارای امضای دیجیتالی صادر شده به‌وسیله «Verisign» است و با «VMProtect»، نرم‌افزاری برای خنثی‌سازی فرآیند مهندسی معکوس و پژوهشگران بدافزارها، محافظت می‌شود.

هکرهای چینی از اسکنر پورت، ابزار بروت فورس «MS-SQL» و سپس یک فرمان اجرای کد از راه دور برای گسترش بدافزار استفاده کردند و با آزمایش ده‌ها هزار ترکیب مختلف به رمزهای عبور و ورود به سیستم دسترسی یافتند.

به گفته کارشناسان، هکرهای چینی همه زیرساخت‌ها را روی سرور فایل بدون کنترل‌های هویت فعال رها کرده بودند.

افیل هارپاز (Ophir Harpaz) و (Daniel Goldberg)، محققان اصلی پروژه کمپین مخرب یاد شده را در ماه آوریل 2019 شناسایی کردند. این کمپین شامل 3 حمله با آدرس های اینترنتی متعلق به آفریقای جنوبی می شود که توسط شبکه حسگر جهانی شرکت مذکور علامت گذاری شود.

تحلیلگران حملاتی را شناسایی کردند که به الگوهای مشاهده شده در 26 فوریه 2019 شباهت داشتند. این تهاجم‌ها روزانه بیش از 700 قربانی می‌گرفتند. به علاوه 20 نوع مختلف از داده‌های مختلف وجود داشت که در بازه زمانی یک هفته ایجاد شده و بلافاصله مورد استفاده قرار می‌گرفتند.

2 تحلیلگر مذکور اعلام کردند :

کمپین Nansh0u، یک حمله استخراج ارز معمول نیست. این کمپین، از روش‌های مشاهده شده در انواع APT مانند اعتبارنامه های جعلی استفاده می‌کند.

آنها افزودند:

یک نمونه دیگر پیچیدگی، درایور رها شده با بارهای مختلف است. اخذ گواهی‌نامه امضا شده برای یک درایور به برنامه‌ریزی و اجرای جدی نیاز دارد. علاوه بر این، درایور به‌صورت عملی هر نسخه ویندوز را از ویندوز 7 تا 10 و همچنین نسخه‌های بتا پشتیبانی می‌کند.

پژوهشگران با اشاره به چند تصمیم‌گیری عجیب «SecOps» از سوی مهاجم نوشتند : «مهاجمان معمولاً زیرساخت کلی خود را روی یک سرور فایل بدون کنترل‌های هویت فعال نگهداری نمی‌کنند. ما می‌توانیم به لگاریتم‌ها، فهرست‌های قربانیان، نام‌های کاربری و فایل‌های دوتایی با یک کلیک موس دسترسی پیدا کنیم. به علاوه، تمام فایل‌های دوتایی برچسب زمانی اصلی خود را دارند؛ یک نویسنده با تجربه بدافزار برای پیچیده کردن فرآیند تجزیه و تحلیل به آنها نفوذ می‌کند.»